通过TLS 的Syslog 无法进行TLS握手，错误为“SSL例程：SSL3_READ_BYTES：tlsv1警报未知 ca”
9431
Created On 04/11/23 08:56 AM - Last Modified 01/03/25 07:35 AM
Symptom
- 防火墙配置为通过TLS发送 Syslog 消息。
- 系统日志报告错误消息“写入流时 Syslog SSL错误；tls_error=' SSL例程：SSL3_READ_BYTES：tlsv1警报未知 ca'.location='/opt/pancfg/mgmt/syslogng/pan_sysng.cfg:59:3??” 。
- 也可以在 Web GUI、监控 > 日志 > 系统中查看日志消息。
Environment
- Palo Alto 防火墙
- 泛操作系统：10.1.9
- 使用TLS的 Syslog
Cause
- 如果syslog服务器需要客户端证书，并且收到的客户端证书是由未知CA签名的，则系统syslog服务器将发送带有“未知CA”的致命警报。
- 这意味着syslog服务器没有防火墙发送的客户端证书的CA证书。
- 在packet capture(数据包捕获-pcap)中也可以看到未知CA错误。
- Syslog 服务器IP 地址：10.137.102.173
- FW 管理IP 地址：10.137.102.178
Resolution
- 在 Syslog 服务器上导入签署防火墙上的客户端证书的CA证书。或者
- 将防火墙上的客户端证书更改为 Syslog 服务器中由CA证书签名的证书。