内容

概要

前提条件

要件

背景説明

BroadWorksの設定

機能ラボの例

コンフィギュレーション

確認

接続性監査

ラボの例（エラーあり）

問題

コンフィギュレーション

確認

接続性監査

解決方法

解決の検証

概要

このドキュメントでは、「SSL_ERROR_NO_CIPHER_OVERLAP」エラーを回避するためにBroadWorksを設定およびトラブルシューティングする方法について説明します。

前提条件

要件

BroadWorksプラットフォームに関する知識があることが推奨されます。

背景説明

BroadWorksの設定

Broadworksリリース22以降では、さまざまな設定レベルで表示されるコンテキストを介して、CLIを介してプロトコルと暗号を設定できます。

'Interface/Port specific - low level'

CLI/Interface/Http/HttpServer/SSLSettings/Protocols

CLI/Interface/Http/HttpServer/SSLSettings/Ciphers

'All interfaces - mid level'

CLI/Interface/Http/SSLCommonSettings/Protocols

CLI/Interface/Http/SSLCommonSettings/Ciphers

'Generic system level - high level'

CLI/System/SSLCommonSettings/JSSE/Protocols

CLI/System/SSLCommonSettings/JSSE/Ciphers

SSLCommonSettingsという名前のコンテキストはSSL階層からより限定的な項目を参照し、SSLSettingsという名前のコンテキストは階層からより限定的な項目を参照します。

機能ラボの例

コンフィギュレーション

暗号が定義されていない特定のインターフェイスとポートに関連付けられた低レベル設定：

CLI/Interface/Http/HttpServer/SSLSettings/Protocols> get 172.16.30.146 443

Protocol Name

===============

TLSv1.1

TLSv1.2

TLSv1

CLI/Interface/Http/HttpServer/SSLSettings/Ciphers> get 172.16.30.146 443

Cipher Name

=============

0 entry found.

確認

次のコマンドで設定を確認します。 curl コマンドにより、WLC CLI で明確に示されます。

$ curl -v -k https://172.16.30.146

* About to connect() to 172.16.30.146 port 443 (#0)

* Trying 172.16.30.146...

* Connected to 172.16.30.146 (172.16.30.146) port 443 (#0)

* Initializing NSS with certpath: sql:/etc/pki/nssdb

* skipping SSL peer certificate verification

* SSL connection using TLS_RSA_WITH_AES_256_CBC_SHA256 <-----

* Server certificate:

* subject: E=broadworks_tac@cisco.com,CN=*.calo.cisco.com,OU=BroadworksTAC,O=TestIssuer,ST=Veracruz,C=MX

* start date: Apr 04 20:39:56 2022 GMT

* expire date: Apr 04 20:39:56 2023 GMT

* common name: *.calo.cisco.com

* issuer: CN=Root CA test,OU=BroadworksTAC,O=TestIssuer,L=Tecolutla,ST=Veracruz,C=MX

> GET / HTTP/1.1

> User-Agent: curl/7.29.0

> Host: 172.16.30.146

> Accept: */*

>

< HTTP/1.1 302 Found

ここでは、暗号TLS_RSA_WITH_AES_256_CBC_SHA256を使用してTLSv1.2経由で正常に接続されています。

接続性監査

受け入れられたプロトコルと暗号を確認するには、次の手順を実行します。

$ nmap -sV --script ssl-enum-ciphers -p 443 172.16.30.146

Starting Nmap 6.40 ( http://nmap.org ) at 2022-05-09 04:26 EDT

Nmap scan report for r23xsp01.calo.cisco.com (172.16.30.146)

Host is up (0.00013s latency).

PORT STATE SERVICE VERSION

443/tcp open ssl/https?

| ssl-enum-ciphers:

| TLSv1.0:

| ciphers:

| TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA - strong

| TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA - strong

| TLS_ECDHE_RSA_WITH_RC4_128_SHA - strong

| TLS_RSA_WITH_AES_128_CBC_SHA - strong

| TLS_RSA_WITH_AES_256_CBC_SHA - strong

| TLS_RSA_WITH_RC4_128_SHA - strong

| compressors:

| NULL

| TLSv1.1:

| ciphers:

| TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA - strong

| TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA - strong

| TLS_ECDHE_RSA_WITH_RC4_128_SHA - strong

| TLS_RSA_WITH_AES_128_CBC_SHA - strong

| TLS_RSA_WITH_AES_256_CBC_SHA - strong

| TLS_RSA_WITH_RC4_128_SHA - strong

| compressors:

| NULL

| TLSv1.2:

| ciphers:

| TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA - strong

| TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 - strong

| TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA - strong

| TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 - strong

| TLS_ECDHE_RSA_WITH_RC4_128_SHA - strong

| TLS_RSA_WITH_AES_128_CBC_SHA - strong

| TLS_RSA_WITH_AES_128_CBC_SHA256 - strong

| TLS_RSA_WITH_AES_256_CBC_SHA - strong

| TLS_RSA_WITH_AES_256_CBC_SHA256 - strong

| TLS_RSA_WITH_RC4_128_SHA - strong

| compressors:

| NULL

|_ least strength: strong

ラボの例（エラーあり）

問題

ブラウザで「SSL_ERROR_NO_CIPHER_OVERLAP」というエラーが発生しました。

# curl -v https://172.16.30.146

* About to connect() to 172.16.30.146 port 443 (#0)

* Trying 172.16.30.146...

* Connected to 172.16.30.146 (172.16.30.146) port 443 (#0)

* Initializing NSS with certpath: sql:/etc/pki/nssdb * CAfile: /etc/pki/tls/certs/ca-bundle.crt CApath: none

* NSS error -12286 (SSL_ERROR_NO_CYPHER_OVERLAP)

* Cannot communicate securely with peer: no common encryption algorithm(s).

* Closing connection 0 curl: (35) Cannot communicate securely with peer: no common encryption algorithm(s).

コンフィギュレーション

TLSv1.0暗号TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256セットを使用してTLSv1.2プロトコルを設定した特定のインターフェイスおよびポートに関連付けられた低レベル設定：

CLI/Interface/Http/HttpServer/SSLSettings/Protocols> get 172.16.30.146 443

Protocol Name

===============

TLSv1.2

CLI/Interface/Http/SSLCommonSettings/Ciphers> get

Cipher Name

======================================

TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256

確認

次のコマンドで設定を確認します。 curl コマンドにより、WLC CLI で明確に示されます。

$ curl -v -k https://172.16.30.146

* About to connect() to 172.16.30.146 port 443 (#0)

* Trying 172.16.30.146...

* Connected to 172.16.30.146 (172.16.30.146) port 443 (#0)

* Initializing NSS with certpath: sql:/etc/pki/nssdb

* NSS error -12286 (SSL_ERROR_NO_CYPHER_OVERLAP)

* Cannot communicate securely with peer: no common encryption algorithm(s).

* Closing connection 0

curl: (35) Cannot communicate securely with peer: no common encryption algorithm(s).

接続性監査

受け入れられたプロトコルと暗号を確認するには、次の手順を実行します。

$ nmap -sV --script ssl-enum-ciphers -p 443 172.16.30.146

Starting Nmap 6.40 ( http://nmap.org ) at 2022-05-09 05:31 EDT

Nmap scan report for r23xsp01.calo.cisco.com (172.16.30.146)

Host is up (0.000049s latency).

PORT STATE SERVICE VERSION

443/tcp open https?

| ssl-enum-ciphers:

|_ TLSv1.2: No supported ciphers found

このツールの結果から、TLSv1.2プロトコルは使用可能ですが、サポートされている暗号がないことが判明しました。

解決方法

下のTLSv1.1暗号を削除 CLI/Interface/Http/SSLCommonSettings/Ciphers をクリックし、すべてのTLSv1.2暗号を再度開きます（またはTLSv1.2暗号を追加します）。

CLI/Interface/Http/HttpServer/SSLSettings/Protocols> get 172.16.30.146 443

Protocol Name

===============

TLSv1.2

CLI/Interface/Http/HttpServer/SSLSettings/Ciphers> get 172.16.30.146 443

Cipher Name

=============

0 entry found.

CLI/Interface/Http/SSLCommonSettings/Ciphers> get

Cipher Name

=============

0 entry found.

解決の検証

$ curl -v -k https://172.16.30.146

* About to connect() to 172.16.30.146 port 443 (#0)

* Trying 172.16.30.146...

* Connected to 172.16.30.146 (172.16.30.146) port 443 (#0)

* Initializing NSS with certpath: sql:/etc/pki/nssdb

* skipping SSL peer certificate verification

* SSL connection using TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 <-----

* Server certificate:

* subject: E=broadworks_tac@cisco.com,CN=*.calo.cisco.com,OU=BroadworksTAC,O=TestIssuer,ST=Veracruz,C=MX

* start date: Apr 04 20:39:56 2022 GMT

* expire date: Apr 04 20:39:56 2023 GMT

* common name: *.calo.cisco.com

* issuer: CN=Root CA test,OU=BroadworksTAC,O=TestIssuer,L=Tecolutla,ST=Veracruz,C=MX

> GET / HTTP/1.1

> User-Agent: curl/7.29.0

> Host: 172.16.30.146

> Accept: */*

>

< HTTP/1.1 302 Found

$ nmap -sV --script ssl-enum-ciphers -p 443 172.16.30.146

Starting Nmap 6.40 ( http://nmap.org ) at 2022-05-09 05:44 EDT

Nmap scan report for r23xsp01.calo.cisco.com (172.16.30.146)

Host is up (0.000063s latency).

PORT STATE SERVICE VERSION

443/tcp open https?

| ssl-enum-ciphers:

| TLSv1.2:

| ciphers:

| TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 - strong

| TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 - strong

| TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 - strong

| TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 - strong