'サーバー証明書が無効です。 IT GlobalProtect クライアント接続がプロキシされている場合は、管理者に連絡してください。

52206

Created On 01/11/21 15:35 PM - Last Modified 09/28/23 23:26 PM

Symptom

クライアントシステムは、 GlobalProtect プロキシ化メカニズムを使用せずに、ポータルとゲートウェイに正常に接続できます。
特定のプロキシメカニズムが有効になると、クライアントシステムは GlobalProtect 、アプリケーションで次のエラーメッセージを表示してゲートウェイに接続できません。

GlobalProtectポータルアドレスは、Web ブラウザーを使用して到達可能です。

GlobalProtectクライアントシステムに正しい証明書がインストールされています。
それにより CA GlobalProtect 、's/ SSL /Server 証明書の発行者/ルート TLS 証明書は、クライアントシステムによって信頼されます。

Environment

パロアルト Firewall
PAN-OS 8.1 以上
GlobalProtect VPNインフラストラクチャ。
A クライアント側のプロキシメカニズムを、 GlobalProtect その他のネットワーク接続に対して確立します。

Cause

一部のプロキシサービスは、独自の証明書を使用するか、特定の状況で証明書をその場で変更してチャネルを確立することが確認されています TLS (たとえば Policy 、ベースのプロキシサービスがトラフィックの復号化を実行する可能性があります)。 GlobalProtectアプリケーションは、これらの証明書を認識せず、検証することもできません。

こうすることで、 GlobalProtect VPN GlobalProtect クライアント/ユーザーが既に信頼しているサーバーの正しい証明書にもかかわらず、ユーザーは接続を許可されません。

Resolution

この問題に対処するためのいくつかの提案は、次に限定されるかもしれませんが、これに限定されません。

[ GUI ネットワーク > > ポータル > エージェント GlobalProtect > 外部] で FQDN 、ゲートウェイを参照する場合は GlobalProtect 、 IP 代わりにアドレスを使用してみてください。

可能な場合は、に接続するときにプロキシサービスを無効に GlobalProtect VPN します。

プロキシサービスの使用が必須である場合は、プロキシサービスのベンダに以下の内容を理解する必要があります。

SSLパススルーや同様のメカニズムが提供されるなど、元の証明書を使用して、接続を透過的にプロキシ GlobalProtect SSL できますか?
アプリケーションに対してプロキシサービスをバイパスできますか GlobalProtect ?
GlobalProtectサーバー証明書を使用してプロキシ接続を確立できますか SSL ?
クライアントに提示された証明書を保持する可能性のある他 SSL GlobalProtect の選択肢はありますか?

Additional Information

プロキシサービスによるサーバー証明書の変更によりこの問題が発生したことを再確認するには、 GlobalProtect ログファイル (PanGPS) で同様のメッセージを検索できます。

...... try to connect to proxy, nProxyIP=964fa79d, proxyPort=8081, proto=6
...... connect to proxy now
...... s=908, destName=1.2.3.4, nPort=443, nProxyIP=964fa79d, nProxyPort=8081, proxyuser=, proxypass=
...... Proxy connection established
...... Unable to verify server cert. Result is unable to get local issuer certificate 
...
...... Failed to verify server certificate of gateway example.com.
...... Show Gateway GP-External-Gateway: The server certificate is invalid. Please contact your IT administrator.
...... Failed to retrieve info for gateway example.com.

参照

証明書の構成
プロキシが使用されていない場合のサーバー証明書の 2番目の記事。