Resolver "515 Certificado de upstream não confiável" Erro no Umbrella SWG

Introdução

Este documento descreve as causas e a resolução do erro "515 Upstream Certificate Untrusted" no Secure Web Gateway (SWG).

Descrição do erro

Ao acessar um site HTTPS pelo Umbrella Secure Web Gateway, este erro pode ser exibido:

"515 Upstream Certificate Untrusted"

360069883331

Este erro indica que a validação do certificado do site não é possível.

Causa

O Umbrella valida certificados digitais apresentados por sites para confirmar a autenticidade do servidor e verificar se uma autoridade confiável emitiu o certificado.

Os problemas de certificado podem ocorrer em vários cenários. Quando esse erro é exibido, o mesmo site geralmente fica inacessível ou exibe uma página de aviso ou de erro em um navegador da Web normal sem o Umbrella SWG. Por segurança, o Secure Web Gateway não permite que os usuários finais ignorem erros de certificado.

Razões comuns para o erro

• Certificado não emitido por uma autoridade raiz confiável
  A Umbrella mantém uma lista de autoridades de certificação raiz que podem identificar sites. O certificado deve ser assinado por uma destas autoridades. O Umbrella obtém essa lista de uma fonte comum usada pelos principais navegadores da Web. Se você determinar que o SWG não confia em uma autoridade de certificação legítima, entre em contato com o suporte da Umbrella.
  
  

• O nome de host do certificado não corresponde à URL de destino
  O nome de host especificado no certificado deve corresponder à URL que o usuário está acessando (por exemplo, a URL digitada na barra de endereços). Se o nome do host não coincidir, o certificado será inválido.
  
  

• Certificado expirado
  O certificado do site expirou.
  
  

• Certificado revogado
  O certificado do site foi revogado pela autoridade de certificação raiz, possivelmente devido ao uso fraudulento.
  
  

• Cadeia CA intermediária não apresentada pelo site
  Os sites devem fornecer uma cadeia completa de certificados, incluindo todas as autoridades de certificação intermediárias, para permitir a verificação até uma autoridade de certificação raiz. Se esta cadeia estiver ausente, o Umbrella não poderá validar o certificado. Alguns certificados usam a extensão de Acesso a Informações de Autoridade (RFC4325) para permitir que os clientes localizem certificados intermediários automaticamente. O Umbrella suporta este recurso, mas não em todas as configurações. Você deve habilitar a Inspeção de Arquivo de Guarda-chuva para esta funcionalidade.
  
  

• Caracteres inválidos no nome do host
  O SWG não poderá validar certificados se o nome do host contiver caracteres inválidos. Os caracteres válidos em um nome de host de Internet incluem caracteres alfabéticos (A-Z), dígitos (0-9), sinais de menos (-) e pontos (.), conforme definido em RFC952 e RFC1123. Alguns navegadores permitem outros caracteres, mas o SWG não os suporta.

Resolução

O Umbrella Secure Web Gateway dá suporte a configurações de manipulação de erros de certificado. Para obter mais informações e instruções para implementar esse recurso, consulte a documentação Habilitar tratamento de erro de certificado.