GlobalCounters: ssl_extended_master_secret y proxy_decrypt_error_overall
15154
Created On 01/21/20 08:13 AM - Last Modified 03/26/21 18:03 PM
Symptom
- Aparece el error del navegador del sitio web:
Este sitio no puede proporcionar una conexión segura. ERR _SSL_versión_o_cifrado_ desajuste
- GlobalCounters y cómo tomarlos - Contadores Globales
proxy_decrypt_error_overall
Número total de errores de descifrado (sin incluir la validación del certificado y el parámetro unsupport)
ssl_extended_master_secret
Número de sesión ssl creada con extensión maestra extendida
- Pack Flow Debugs y cómo tomarlos - Flow Basic
descartar identificador de cifrado desconocido
analizar el error de saludo del cliente 0 no excluido
Environment
- Palo Alto Networks Firewalls configurados con descifrado.
Cause
- EC Diffie-Hellman Server Named Curve: x25519 (0x001d) no es compatible con OS 8.1.x
Resolution
En el servidor, desactive sólo la curva elíptica 22519.
Additional Information
Curva elíptica compatible en Pan OS 8.1.x
SSL / TLS Descifrado — NIST- curvas elípticas aprobadas
P-192 (secp192r1)
P-224 (secp224r1)
P-256 (secp256r1)
P-384 (secp384
P-521 (secp521r1)
https://docs.paloaltonetworks.com/compatibility-matrix/supported-cipher-suites/cipher-suites-supported-in- pan-os -8-1/cipher-suites-supported-in- pan-os -8-1-decryption.html#id181GE0UF0HR