Fehlerbehebung bei SWG-Zertifikatfehlern für Digicert-Zertifikate

Einleitung

In diesem Dokument wird beschrieben, wie Sie Umbrella Secure Web Gateway (SWG)-Zertifikatfehler beheben, die nur bei von Digicert signierten Zertifikaten auftreten.

Voraussetzungen

Anforderungen

Es gibt keine spezifischen Anforderungen für dieses Dokument.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf Umbrella Secure Web Gateway.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Problem

Nach der Aktivierung der Anwendungskontrolle auf dem Umbrella Secure Web Gateway (SWG) treten Zertifikatfehler auf ausgewählten Websites auf. Wenn diese Zertifikatfehler konsistent Digicert-Zertifikate sind, lesen Sie diesen Artikel weiter. Handelt es sich bei allen Zertifikaten um Zertifikate, lesen Sie in der Umbrella-Dokumentation nach, wie Sie die Cisco Root-Zertifizierungsstelle bereitstellen, um die SSL-Verschlüsselung durchzuführen.

Lösung

Zertifikatfehler, die auftreten, nachdem Anwendungskontrollen aktiviert wurden, sind in der Regel auf das Blockieren des Zertifikats-Verwaltungsdiensts Digicert in der Kategorie Sicherheit zurückzuführen. Wenn Digicert-Dienste blockiert sind, kann die von den Clients zur Validierung des Zertifikats durchgeführte Überprüfung des Zertifikatswiderrufs für alle von Digicert signierten Zertifikate fehlschlagen.

Die häufigste Ursache ist ein Block der Anwendungskategorie "Sicherheit", der Digicert automatisch enthalten und zu erheblichen Zertifikatproblemen führen kann.

Um dieses Problem zu beheben, stellen Sie sicher, dass Digicert OCSP und Digicert nicht durch die Anwendungseinstellungen blockiert werden. Die Konfiguration in diesem Screenshot zeigt ein Beispiel für eine Konfiguration, die angepasst werden muss:

360051888492

Stellen Sie außerdem sicher, dass die erwartete Richtlinie angewendet wird. Weitere Informationen finden Sie unter http://policy-debug.checkumbrella.com/

Um diese Auflösung zu bestätigen, überprüfen Sie Ihre Aktivitätssuche nach einem Wechsel von ocsp.digicert.com Abfragen von "Blockiert" zu "Zulässig".