Os clientes Windows que executam o cliente Splunk não puderam carregar logs na nuvem Splunk devido a erros de validação de certificado quando o tráfego foi descriptografado pelo Cisco Secure Access. Mais de 5.000 fontes de log do Windows falharam ao enviar dados para a nuvem Splunk, afetando a ingestão de logs. O erro específico observado nos logs do cliente Splunk foi:
02-27-2026 16:51:54.830 +0530 ERROR X509Verify [15668 TcpOutEloop] - Server X509 certificate failed validation; error=20, reason="unable to get local issuer certificate"
O tráfego para o destino *.splunkcloud.com estava fluindo pelo firewall, mas a validação do certificado no nível do aplicativo estava falhando. A navegação na Web para sites nos quais a descriptografia SSL estava habilitada continuou a funcionar normalmente.
Cisco Secure Access com descriptografia SSL/TLS ativada
Clientes Windows com Splunk Universal Forwarder instalado
Destino da nuvem de tronco: *.splunkcloud.com
Mais de 5.000 origens de log do Windows afetadas
O cliente Splunk usa seu próprio armazenamento de certificados, não o armazenamento de certificados do sistema Microsoft
O problema foi resolvido com a implementação de uma política de desvio de descriptografia para tráfego de nuvem Splunk no Cisco Secure Access.
Foram dados vários passos.
Durante uma sessão do WebEx, o comportamento foi confirmado e reproduzido. Os testes mostraram que, quando a descriptografia de Acesso seguro foi desabilitada para um cliente ou quando o serviço SWG foi desabilitado no cliente, os carregamentos de log de Splunk tiveram êxito. Isso confirmou que o processo de descriptografia SSL/TLS estava causando a falha de validação do certificado.
Uma lista de destinos foi criada contendo os FQDNs e os endereços IP da nuvem de Splunk para direcionar especificamente o tráfego destinado aos serviços de nuvem de Splunk.
Uma política do Cisco Secure Access foi implementada para desabilitar a descriptografia SSL/TLS para o tráfego correspondente à lista de destinos da nuvem Splunk. Essa política de desvio permitiu que os clientes Splunk estabelecessem conexões criptografadas diretas com a nuvem Splunk sem interceptação de certificado pelo Secure Access.
Após implementar a política de desvio de descriptografia, a validação confirmou que:
Os clientes Splunk puderam carregar logs com êxito
O número geral de clientes relatando na nuvem Splunk aumentou substancialmente
Nenhum outro erro de validação de certificado foi observado
A gravidade do caso foi reduzida de 1 para 3 e colocada no status de monitoramento para observar a ingestão contínua e bem-sucedida de registros.
A causa raiz foi que o cliente Splunk usa seu próprio armazenamento de certificados e não confia no certificado SubCA Primário do Cisco Secure Access que estava sendo apresentado durante a descriptografia SSL/TLS. Quando o Cisco Secure Access interceptou e descriptografou o tráfego SSL para a nuvem Splunk, ele criptografou novamente o tráfego usando sua própria autoridade de certificação. O processo de validação do certificado do cliente Splunk rejeitou este certificado porque não pôde verificar a cadeia de certificados de volta para uma autoridade de certificado raiz confiável em seu próprio repositório de certificados.
O erro de validação X.509 específico "não é possível obter o certificado do emissor local" (código de erro 20) indica que o processo de validação do certificado não pôde localizar a autoridade de certificação emissora no repositório de certificados confiáveis do cliente, causando a falha da conexão.
| Revisão | Data de publicação | Comentários |
|---|---|---|
1.0 |
26-May-2026
|
Versão inicial |