Por qué el tráfico se descarta como "Perfil de cliente y descifrado no coincidente"
17610
Created On 10/09/20 23:27 PM - Last Modified 03/26/21 18:42 PM
Question
El tráfico se cae con un error como "Cliente y perfil de descifrado desajustado"; ¿Qué es este error y cómo se puede I solucionar?
Environment
todo PAN-OS
Answer
Respuesta: La razón principal de "Desajuste de perfil de cliente y descifrado" es la discordancia de la versión del conjunto de cifrado. Puede filtrar estos registros mediante el error de consulta que contiene 'Cliente y descifrar la discordancia de perfil' en Monitor -> Logs->Decryption. Los registros tendrán el siguiente aspecto:
Client and Decryption profile mismatched, supported client version bitmask is 0x08 and supported decryption profile bit mask is 0x70
Este error se produce cuando el cifrado ofrecido por el servidor no coincide con el cliente.Los códigos hexadecimales identifican la versión exacta que admite el cliente y la versión exacta que admite el perfil de descifrado.
Identifique el valor de la máscara de bits:
- Inicie sesión CLI para buscar los valores de máscara de bits.
admin@PA> debug dataplane show ssl-decrypt bitmask-version 0x70 TLSv1.1 TLSv1.2 TLSv1.3 admin@PA.VM> debug dataplane show ssl-decrypt bitmask-version 0x08 TLSv1.0 admin@PA.VM> debug dataplane show ssl-decrypt bitmask-version 0x10 TLSv1.1Pregunta: ¿Cómo podemos arreglarlo?
Respuesta: Después de encontrar la discordancía, puede actualizar el cliente para que pueda aceptar la coincidencia y proteger la TLS versión. Si el cliente no se puede actualizar, puede editar el perfil de descifrado.
Puede encontrar más información en https://docs.paloaltonetworks.com/ pan-os /10-0/ pan-os -admin/decryption/troubleshoot-and-monitor-decryption/decryption-troubleshooting-workflow-examples/troubleshoot-unsupported-cipher-suites.html