SSL-Fehler beim automatischen Lernen

Die Citrix SWG-Appliance fügt der SSL-Umgehungsliste eine Domäne hinzu, wenn der Lernmodus aktiviert ist. Der Lernmodus basiert auf der SSL-Warnmeldung, die von einem Client oder einem Ursprungsserver empfangen wird. Das heißt, das Lernen hängt davon ab, dass der Client oder Server eine Warnmeldung sendet. Es gibt keine Erkenntnisse, wenn keine Warnmeldung gesendet wird. Die Appliance lernt, ob eine der folgenden Bedingungen erfüllt ist:

  1. Eine Anforderung für ein Clientzertifikat wird vom Server empfangen.

  2. Eine der folgenden Warnungen wird als Teil des Handshake empfangen:

    • BAD_CERTIFICATE
    • UNSUPPORTED_CERTIFICATE
    • CERTIFICATE_REVOKED
    • CERTIFICATE_EXPIRED
    • CERTIFICATE_UNKNOWN
    • UNKNOWN_CA (Wenn ein Client das Anheften verwendet, sendet er diese Warnmeldung, wenn er ein Serverzertifikat erhält.)
    • HANDSHAKE_FAILURE

Um das Lernen zu aktivieren, müssen Sie den Fehlercache aktivieren und den dafür reservierten Speicher angeben.

Aktivieren des Lernens mit der Citrix SWG-GUI

  1. Navigieren Sie zu Secure Web Gateway > SSL.

  2. Klicken Sie unter Einstellungenauf Erweiterte SSL-Einstellungen ändern.

  3. Wählen Sie in SSL-Interceptiondie Option SSL-Abfangfehlercacheaus.

  4. Geben Sie in SSL Interception Max Error Cache Memoryden Speicher (in Byte) an, der reserviert werden soll.

    lokalisiertes Bild

  5. Klicken Sie auf OK.

Aktivieren des Lernens mit der Citrix SWG CLI

Geben Sie an der Eingabeaufforderung Folgendes ein:

set ssl parameter -ssliErrorCache ( ENABLED | DISABLED ) -ssliMaxErrorCacheMem <positive_integer>

Argumente:

ssliErrorCache:

          Aktivieren oder deaktivieren Sie dynamisches Lernen, und speichern Sie die erlernten Informationen, um nachfolgende Entscheidungen zu treffen, um Anforderungen abzufangen oder zu umgehen. Wenn diese Option aktiviert ist, führt die Appliance eine Cache-Suche durch, um zu entscheiden, ob die Anforderung umgangen werden soll.

          Mögliche Werte: `ENABLED, DISABLED`

          Standardwert: `DISABLED`

ssliMaxErrorCacheMem:

          Geben Sie den maximalen Speicher in Byte an, der zum Zwischenspeichern der erlernten Daten verwendet werden kann. Dieser Speicher wird als LRU-Cache verwendet, so dass die alten Einträge nach Erschöpfung des eingestellten Speicherlimits durch neue Einträge ersetzt werden. Der Wert 0 entscheidet automatisch über den Grenzwert.

          Standardwert: 0

          Mindestwert: 0

          Höchstwert: 4294967294