簡介
本文檔介紹在思科郵件安全裝置(ESA)上升級至AsyncOS for Email Security 9.5版或更高版本後，遇到TLS通訊問題或訪問Web介面時應應用的必要步驟。
舊證書(MD5)導致9.5 AsyncOS上的TLSv1.2通訊失敗，以進行郵件安全升級和更新版本
注意：以下列出了適用於裝置上當前演示證書的解決方法。但是，以下步驟可能也適用於任何MD5簽名證書。
在對AsyncOS for Email Security 9.5版和更新版本執行升級後，任何仍在使用並申請交付、接收或LDAP的舊版IronPort演示證書在嘗試透過TLSv1/TLSv1.2與某些域通訊時都可能會遇到錯誤。 TLS錯誤將導致所有入站或出站會話失敗。
如果將證書應用到HTTPS介面，現代Web瀏覽器將無法訪問裝置的Web介面。
郵件日誌應類似於以下示例：
Tue Jun 30 15:27:59 2015 Info: ICID 4420993 TLS failed: (336109761,
'error:1408A0C1:SSL routines:SSL3_GET_CLIENT_HELLO:no shared cipher')
此錯誤是由套用至舊憑證（即MD5）的簽章演演算法所造成；不過，與連線裝置/瀏覽器相關的憑證僅支援基於SHA簽章的演演算法。雖然具有MD5簽名的較舊演示證書與新的基於SHA的演示證書同時存在於裝置上，但只有將基於MD5簽名的證書應用於指定部分（如接收、傳送等）時，上述錯誤才會顯現
以下範例取自裝置的CLI，該裝置除了具有新的Demo Certificate外，還同時具有舊的MD5憑證(注意：較新的憑證(Demo)應該是SHA演演算法的較新版本，並且到期日比較舊的示範憑證長)：
List of Certificates
Name Common Name Issued By Status Remaining
--------- -------------------- -------------------- ------------- ---------
delivery_ IronPort Appliance D IronPort Appliance D Active 303 days
https_cer IronPort Appliance D IronPort Appliance D Active 303 days
ldaps_cer IronPort Appliance D IronPort Appliance D Active 303 days
receiving IronPort Appliance D IronPort Appliance D Valid 303 days
Demo Cisco Appliance Demo Cisco Appliance Demo Active 3218 days
更正動作
1. 瀏覽至Web (UI)：網路>憑證
2. 確認您當前安裝了較舊的證書，並且還安裝了新的SHA演示證書。
3. 根據舊版演示證書的套用位置，用新版演示證書替換舊版。
通常，在以下部分中可以找到正在應用的這些證書：
- 網路>監聽器>監聽器的名稱>憑證
- 郵件策略(Mail Policies) >目標控制(Destination Controls) >編輯全局設定(Edit Global Settings) >證書(Certificate)
- Network > IP Interface > Choose interface associated with GUI access > HTTPS Certificate
- 系統管理> LDAP >編輯設定>證書
4. 替換所有證書後，從命令列驗證TLS通訊現在是否成功。
使用TLSv1.2協商的有效TLS通訊示例：
Thu Jul 2 16:38:30 2015 Info: New SMTP ICID 4435675 interface Data1 (10.0.10.1)
address 209.85.213.182 reverse dns host mail-ig0-f182.google.com verified yes
Thu Jul 2 16:38:30 2015 Info: ICID 4435675 ACCEPT SG UNKNOWNLIST match sbrs[0.0:10.0] SBRS 4.8
Thu Jul 2 16:38:30 2015 Info: ICID 4435675 TLS success protocol TLSv1.2 cipher AES128-GCM-SHA256
CLI更正動作（如果無法存取GUI）
可能需要在啟用了HTTPS服務證書的每個IP介面上修改證書。 要修改介面使用的證書，請在CLI上運行以下命令：
- 鍵入interfaceconfig。
- 選擇edit。
- 輸入要編輯的介面編號。
- 使用return鍵接受所提出每個問題的目前設定。 當顯示要應用的證書選項時，請選擇演示證書：
-
1. Ironport Demo Certificate
2. Demo
Please choose the certificate to apply:
[1]> 2
You may use "Demo", but this will not be secure.
Do you really wish to use the "Demo" certificate? [N]> Y
-
完成設定提示的逐步執行，直到所有配置問題都完成。
-
使用return鍵退出到主CLI提示。
- Usecommit：儲存對配置所做的更改。
注意：在更改介面上正在使用的證書後，請切記提交更改。
相關資訊
意見