ADC

故障排除

如果配置后 SSL 功能无法按预期运行,则可以使用一些常用工具来访问 NetScaler 资源并诊断问题。

故障排除的资源

为获得最佳结果,请使用以下资源对 NetScaler 设备上的 SSL 问题进行故障排除:

  • 相关的 ns.log 文件
  • 最新的 ns.conf 文件
  • 消息文件
  • 相关 newnslog 文件
  • 跟踪文件
  • 如果可能,提供证书文件的副本
  • 如果可能,请提供密钥文件的副本
  • 错误消息(如果有)

除了这些资源外,您还可以使用为 NetScaler 跟踪文件定制的 Wireshark 应用程序来加快故障排除。

排除 SSL 问题

要解决 SSL 问题,请按以下步骤操作:

  • 验证 NetScaler 设备是否已获得 SSL 卸载和负载平衡的许可。
  • 确认设备上已启用 SSL 卸载和负载平衡功能。
  • 确认 SSL 虚拟服务器的状态未显示为 DOWN。
  • 验证绑定到虚拟服务器的服务的状态是否显示为 DOWN。
  • 验证有效证书是否绑定到虚拟服务器。
  • 验证服务是否使用了适当的端口,最好是端口 443。

解密来自数据包跟踪的 TLS1.3 流量

要对在 TLS1.3 上运行的协议进行故障排除,必须先解密 TLS1.3 流量。要在 Wireshark 中解密 TLS 1.3,必须以密NSS 钥日志格式导出密钥。有关密钥日志格式的更多信息,请参阅 NSS 密钥日志格式

有关如何捕获数据包跟踪的信息,请参阅在跟 踪期间捕获 SSL 会话密钥

注意:NetScaler 会自动以适用于正在使用的 TLS/SSL 协议版本的相应格式记录每个连接的密钥。

在 HA 设置中,CRL 刷新不会在辅助节点上发生

刷新不会发生,因为只有主节点可以通过专用网络访问 CRL 服务器。

解决办法: 使用 CRL 服务器的 IP 地址在主节点上添加服务。此服务充当 CRL 服务器的代理。在节点之间同步配置时,CRL 刷新将通过在主节点上配置的服务同时适用于主节点和辅助节点。

故障排除