Global Protect Clientless VPN Portal ne parvient pas à charger l’application Web avec Chrome Browser
27040
Created On 02/19/20 21:22 PM - Last Modified 02/21/25 02:08 AM
Symptom
- Client a mis à niveau le serveur Web pour l’une des applications publiées derrière le portail VPN clientless
- L’application Web cesse de fonctionner spécifiquement dans le navigateur Chrome - d’autres navigateurs fonctionnent
- Le navigateur Chrome affiche une page blanche et une icône de filature
- Aucune erreur n’est affichée dans la console Developer Tools -> sur le navigateur Chrome
Environment
- Chrome Browser (toutes les versions)
- PanOS Global Protect Clientless VPN (toutes les versions)
Cause
- Après la mise à niveau du serveur Web pour l’application - l’application demande du contenu externe supplémentaire qui n’a pas été demandé précédemment:
- fonts.googleapis.com
- fonts.gstatic.com
- Les stratégies de sécurité permettaient de zone « ClientlessVPN » à zone « Trust » qui est l’endroit où l’application serveur web est hébergée
- Les politiques de sécurité ne permettaient pas de zone « ClientlessVPN » à la zone « Untrust » qui est nécessaire pour atteindre « fonts.googleapis.com » et « fonts.gstatic.com ».Le trafic est en train de frapper un Deny policy .
- Le navigateur Chrome n’affiche pas le contenu restant de la page lorsqu’il ne peut pas récupérer le contenu des polices.(Internet Explorer et Firefox affichent le contenu de l’application Web, même si ceux-ci ne sont pas non plus en mesure de récupérer le contenu des polices).
Resolution
- La résolution est de permettre à la zone ClientlessVPN de zone Untrust de permettre au trafic de récupérer le contenu des polices Google.
Additional Information
- S’il y a enregistrement activé sur le Deny policy - il y aura un journal de trafic pour le trafic refusé
- Les VPN pcaps sans client montreront que les demandes sont reçues du côté client mais ne sont pas présentes du côté serveur - ce qui indique que ces paquets ont bloqué HTTP GET PCAP PCAP firewall l’entrée de ces paquets dans le portail
- Les captures de fiddler prises sur la machine cliente montreront qu’il y a eu HTTP GET une demande envoyée par le client au portail sans VPN client, mais il n’y a pas eu de réponse reçue.