فهم أخطاء شهادة SSL والتصافح في الوصول الآمن

مسألة

تم حظر حركة مرور HTTP بسبب الشهادة ويمكن الآن عرض أخطاء TLS في البحث عن نشاط لوحة المعلومات. تقدم هذه المقالة قائمة برسائل الخطأ الشائعة بالاضافة إلى شرح مختصر لكل خطأ.

البيئة

• الوصول الآمن من Cisco — فحص SSL لبوابة الويب الآمنة

قرار

انتهت صلاحية شهادة الخادم

لقد تجاوزت شهادة موقع الويب تاريخ انتهاء صلاحيتها، لذلك لا يثق Cisco Secure Access بها. هذه الرسالة على مالك الموقع لإصلاحها، لذا اتصل بمدير الموقع وأعلمهم.

شهادة الخادم ذاتية التوقيع

يقدم الموقع شهادة قام بتوقيعها بنفسه، بدلا من شهادة صادرة عن هيئة ترخيص موثوق بها. نظرا لعدم وجود سلطة مستقلة تشترط الحصول عليها، فلا يملك Cisco Secure Access أية طريقة لتأكيد أن الشهادة أصلية.

عادة ما ترى شهادات موقعة ذاتيا على الموارد المخصصة لجمهور داخلي صغير — بوابات الإدارة على أجهزة أمان تقنية المعلومات هي مثال تقليدي. لاحظ فقط أنه لا يمكن إعداد Cisco Secure Access لضمان الشهادات الموقعة ذاتيا.

شهادة وسيطة مفقودة

تعذر على Cisco Secure Access تجميع جميع الشهادات المتوسطة التي تحتاجها، لذلك لا يمكنه إعادة إنشاء سلسلة الثقة الكاملة إلى جذر.

وهذا هو السبب وراء أهمية هذا: يتم توقيع شهادة موقع الويب (الورقة) من خلال شهادة وسيطة، والتي يمكن توقيعها بدورها من قبل وسيط آخر، وهكذا حتى جذر موثوق به. للتحقق من هذه السلسلة، يجب أن يرسل موقع الويب شهادته (شهاداته) الوسيطة مع شهادته (شهاداته) الخاصة. عندما تكون هذه العناصر مفقودة، يتم إيقاف عملية التحقق من الصحة، لذا دع مسؤول الموقع يعرف ذلك.

هناك إستثناء واحد: إذا كانت الشهادة تحتوي على امتداد "الوصول إلى معلومات السلطة" (AIA)، فيمكن ل Cisco Secure Access أن يحاول إحضار الوسطاء المفقودين بنفسه. تذكر أن هذا يعمل فقط عند تشغيل كل من فك تشفير HTTPS و فحص الملفات.

اسم الموضوع مفقود لشهادة المنبع

لا تحتوي الشهادة على اسم الموضوع (اسم مميز) أو اسم الموضوع البديل، مما يعني أنه لا يوجد ما يحدد بشكل واضح من ينتمي للشهادة. وبدون ذلك، لا يمكن ل Cisco Secure Access التحقق من صحته. هادا شي لازم يصحبو أصحاب الموقع.

اسم مشترك مفقود لشهادة المنبع

لا تحتوي الشهادة على اسم شائع (CN) — الحقل الذي يحمل اسم المضيف للموقع بشكل تقليدي ويساعد على تأكيد أن الشهادة تنتمي بالفعل إلى الموقع الذي تزوره. في هذه الأيام، يعتمد هذا التحقق حقا على موضوع الاسم البديل (SAN)، ويعتبر CN حقلا قديما، ولكن لا يزال غيابه يمكن أن يؤدي إلى هذا الخطأ. تواصل مع مدير الموقع لتتواصل معه.

شهادة الخادم غير موثوق بها

لا يثق Cisco Secure Access بهذه الشهادة، عادة لأنها لا تتعرف على المرجع المصدق الجذر الذي قام بإصدارها.

يحتفظ Cisco Secure Access SWG بقائمة مضمنة لسلطات الشهادات الجذر الموثوق بها، والتي تم الحصول عليها من موفر موثوق به وتم تحديثها. في حالة تعقب شهادة الموقع إلى مرجع مصدق غير مدرج في هذه القائمة، يفشل التحقق من الصحة. إذا كنت واثقا من أن المرجع المصدق الجذر هو المرجع المصدق الذي يمكن الوثوق به، اتصل بالدعم الفني ويمكننا إلقاء نظرة.

اسم المضيف في CERT مختلف عن المتوقع

لا يتطابق العنوان الذي طلبته مع الاسم الموجود في الشهادة - لا الاسم الشائع (CN) ولا أي من أسماء المواضيع البديلة (SAN) الخاصة بها. بما أن الشهادة لا تبدو أنها تنتمي إلى الموقع الذي تصل إليه، فإن Cisco Secure Access لا تثق فيها لهذا الطلب. يحتاج مدير الويب إلى فرز هذا الأمر.

تم إبطال شهادة تدفق البيانات

وقد قامت "هيئة الشهادات" التي أصدرت هذه الشهادة بإلغائها منذ ذلك الحين - وبعبارة أخرى، لم تعد تعتبر صالحة.

يؤكد Cisco Secure Access هذا باستخدام بروتوكول حالة الشهادة عبر الإنترنت (OSCP)، والذي يتحقق في الوقت الفعلي مما إذا كان قد تم إبطال الشهادة. دع مدير الموقع يعلم بذلك حتى يتمكن من إستبداله.

أخطاء مصافحة TLS

شفرة تدفق غير مدعومة

تعذر إكمال مصافحة TLS لأن موقع الويب لا يدعم أي من مجموعات التشفير التي يستخدمها SWG للوصول الآمن من Cisco. وهذا يميل إلى الظهور مع الخوادم الأقدم أو القديمة التي لا تقدم سوى شفرات أضعف. الإصلاح موجود على جانب الخادم، لذا قم بتمريره إلى مدير الويب.

عدم تطابق إصدار Upstream TLS

فشلت المصافحة لأن موقع الويب لا يستخدم إصدار TLS الذي يدعمه SWG للوصول الآمن من Cisco. حاليا، يعمل وكيل Cisco Secure Access SWG مع TLS 1.2 و TLS 1.3 — لكل من الاتصالات الواردة من العملاء وللاتصالات التي يقوم بها إلى الخوادم الوجهة.

مفتاح DH للتدفق أقل من 1024 بت

تعذر إكمال المصافحة نظرا لاستخدام الموقع مفتاح Diffie-Hellman ضعيف جدا (أقل من 1024 بت) بحيث لا يتمكن Cisco Secure Access من قبوله. يعد هذا قيدا من جانب الخادم، لذا يحتاج مدير الويب إلى تقويته.

الحلول

من الممكن حل هذه المشاكل من خلال إجراء تغييرات التكوين في Cisco Secure Access.

يجب أن يتم هذا فقط إذا كنت تثق في أصالة الخادم والشهادة.

يمكن تطبيق الحلول باستخدام إدخال "قائمة فك التشفير الانتقائي" لتعطيل فك التشفير أو إدخال "مجالات خارجية" لتجاوز حركة المرور من Cisco Secure Access بالكامل. لا يقوم Cisco Secure Access بالتحقق من صحة الشهادة عند تعطيل فك التشفير.

كن على علم بأنه في معظم الحالات، لا يزال المستعرض يعرض خطأ أو تحذيرا عند تجاوز حركة المرور من Cisco Secure Access - تقوم مستعرضات الويب بإجراء تحقق مماثل من صحة الشهادة.

السبب

تعذر على وكيل فحص Cisco Secure Access SSL إكمال مصافحة TLS — بشكل شائع لأن الوجهة تستخدم دعامة شهادة ترفض شهادة CSA المعاد توقيعها.

· تثبيت الشهادة: توقع بصمة الإصبع للأكواد الثابتة للعملاء

· CSA CA غير موثوق به على نقطة النهاية: لم يتم نشر شهادة CA الخاصة بالتفحص في المخزن الجذري الموثوق به

المحتوى ذي الصلة

• الدعم الفني والتنزيلات من Cisco

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	29-Oct-2026	الإصدار الأولي