02.hcie sec和参考1安全hc ssl故障排除

1、HC13031073SSL故障排除Copyright 2014Technologies Co.,.s.目标学完本课程后，您将能够:熟悉故障的常见配置问题掌握故障基本定位过程掌握相关故障处理过程Copyright 2014Technologies Co.,.s.Page 1目录一般故障处理流程常见故障定位及处理登录虚拟网关页面故障1.2.3.4.5.6.7.认证Web故障故障网络扩展故障端口转发故障文件共享故障终端安全Copyright 2014Technologies Co.,.s.Page 21、故障处理流程图一般故障的定义及处理流程Copyright 2014Technologies Co

2、.,.s.Page 32.1、登录虚拟网关页面故障故障一、无法登录虚拟网关Web页面且无任何提示信息可能原因原因一：在采用认证后，没有选中“需要用户提供”选项，导致没有验证请求，客户端也不会传输到虚拟网关，导致登录没有响应。原因二：在采用认证后，使用Firefox浏览器进行客户端认证登录，验证失败，SSL连接断开，页面没有响应。Copyright 2014Technologies Co.,.s.Page 42.1、登录虚拟网关页面故障故障二、提示“无法显示网页”可能原因原因一：用户PC和虚拟网关路由不可达。原因二：虚拟网关的IP地址已经被更改。原因三：没有通过虚拟网关原因四：共享型虚拟网关共享

3、型虚拟网关。没有配置为公网地址。Copyright 2014Technologies Co.,.s.Page 52.1、登录虚拟网关页面故障故障三、提示“您的可能原因原因一：客户端原因二：客户端原因三：客户端验证，请提供合法的!”不在有效期内。已经被吊销。对应的虚拟网关CA没有正确导入。原因四：检测配置错误：使用CRL检测时，如果从客户端中获取CDP信息时，CDP服务器路由不可达。使用OCSP检测时，OCSP选项配置错误或OCSP响应器路由不可达。原因五：在Copyright 2014链中，CATechnologies Co.,的s被吊销或检测错误。Page 6.2.1、登录虚拟网关页面故障故

4、障三、提示“您的验证，请提供合法的!”Copyright 2014Technologies Co.,.s.Page 72.1、登录虚拟网关页面故障故障四、提示“visit limit, your IP address is not security”可能原因管理员配置了限制该终端源IP地址的策略。Copyright 2014Technologies Co.,.s.Page 82.1、登录虚拟网关页面故障故障五、提示“用户连接数已达到上限，请稍后再试”可能原因原因一：正常现象。用户达到上限。原因二：允许一个账号在多处同时登录的情况下，会话超时时间设置过长。Copyright 2014Techno

5、logies Co.,.s.Page 92.1、登录虚拟网关页面故障故障六、提示“错误的用户名或可能原因”原因一：用户名和输入错误。原因二：用户或组过滤字段配置错误。原因三：过滤字段配置错误。原因四：AD服务器和SVN系统的时间、时区不一致。原因五：SecurID令牌和SecurID服务器的时间差大于设定的值。Copyright 2014Technologies Co.,.s.Page 102.2、认证故障故障一、LDAP或AD的组搜索失败能原原因一：LDAP服务器不存在或路由不可达。原因二：没有正确配置LDAP服务器信息。原因三：没有正确配置组搜索的Base DN/Port DN。原因四：搜

6、索规则不符合规范。AD组搜索失败的原因和处理过程与LDAP类似。Copyright 2014Technologies Co.,.s.Page 112.2、认证故障故障二、LDAP或AD组搜索需要较长时间，但是服务器上的组并不多能原原因一：搜索规则设置范围太宽，导致LDAP服务器返回了大量重复的组名，在SVN上花费很多时间来过滤。原因二：配置了主备LDAP服务器，可能主LDAP服务器连接不上，而向备LDAP服务器请求。AD组搜索失败的原因和处理过程与LDAP类似。Copyright 2014Technologies Co.,.s.Page 122.3、Web故障一、用户无法能原故障页面上看到的W

7、eb资源原因一：网络连接故障。原因二：内网服务器没有开启Web服务。原因三：虚拟网关策略设置错误。Copyright 2014Technologies Co.,.s.Page 132.3、Web故障二、打开Web可能原因故障资源页面时，页面显示不完全正常现象。该页面包含多个，管理员没有对这些配置相应的Web资源。如果需要显示该页面的所有内容，请按照以下处理步骤进行配置。Copyright 2014Technologies Co.,.s.Page 142.3、Web故障故障三、虚拟网关上不能显示配置的全部Web可能原因资源正常现象。非门户资源不会显示在虚拟网关上。Copyright 2014Te

8、chnologies Co.,.s.Page 152.3、Web故障故障四、在源环境下，某些启动后，用户无法资Web可能因当ISA C览器的nt等会修改网络浏览器设置的运行时，网络浏资源。设置被修改，导致用户无法WebCopyright 2014Technologies Co.,.s.Page 162.4、网络扩展故障故障一、不能使用网络扩展业务可能原因原因一：网络连接故障。原因二：SVN上没有将该内网服务器配置为网络扩展资源。内网服务器资源原因三：SVN上的控制策略不允许用户网络扩展资源。Copyright 2014Technologies Co.,.s.Page 172.4、网络扩展故障故

9、障二、无法启用网络扩展功能可能原因PC上不能启动网络扩展功能，可能与当前PC特定的软硬件环境有关。启用网络扩展功能时会自动安装虚拟网卡和Nemservice系统服务，如果上述安装不正确则不能成功启用网络扩展功能。原因一：启动网络扩展时安装虚拟网卡失败。原因二：启动网络扩展时安装或者启动Nemservice失败。原因三：客户端IE展启动失败。设置的pac文件地址不正确导致网络扩Copyright 2014Technologies Co.,.s.Page 182.4、网络扩展故障故障三、使用客户端启动网络扩展时提示“连接网关失败”可能原因提示“连接网关失败”说明网络扩展客户端和SVN虚拟网关之间没

10、有建立SSL连接。引起该故障的可能的原因如下：原因一：网络扩展客户端的服务器设置错误。原因二：PC和虚拟网关/服务器之间的路由不可达。原因三：网络扩展客户端和虚拟网关/服务器之间的TCP连接被。Copyright 2014Technologies Co.,.s.Page 192.4、网络扩展故障故障四、启动网络扩展后，客户端不能获取到IP地址可能原因原因一：虚拟网关和DHCP服务器网络不可达。原因二：DHCP服务器没有分配IP地址。原因三：DHCP服务器或IP地址池分配的网络扩展虚拟IP地址和设备上其他IP地址，导致分配失败。原因四：用户PC操作系统的DHCP Cnt服务没有打开。原因五：IP

11、地址池内的IP地址已经分配完。Copyright 2014Technologies Co.,.s.Page 202.4、网络扩展故障故障五、安装网络扩展客户端失败可能原因只有操作系统管理员才能安装网络扩展客户端，当前登录PC的用户不具有管理员权限。Copyright 2014Technologies Co.,.s.Page 212.4、网络扩展故障故障六、使用NTLM认证可能原因,使用网络扩展客户端连接失败NTLM认证通过AD实现，Windows的域控制器只能对前20个字符进行验证，所以当败。服务器的用户名超过20个字符时，登录失Copyright 2014Technologies Co.,.

12、s.Page 222.4、网络扩展故障故障七、在展功能环境下，某些启动后，用户无法使用网络扩Web类型的资源可能因当ISA C览器的nt等会修改网络浏览器设置的运行时，网络浏设置被修改，导致用户无法使用网络扩展功能Web类型的资源。Copyright 2014Technologies Co.,.s.Page 232.4、网络扩展故障故障八、使用网络扩展客户端启动网络扩展时，提示“建立环境失败”，弹出自动重连提示框可能因原因一：用户PC上安装的NemService和虚拟网关/原因二：用户PC上安装的网络扩展系统服务程序服务器之间建立SSL连接。提示用户“允许”或者“阻止”网络扩展系统服务程序Ne

13、mService连接到网络时，用户没有在指定时间内选择“允许”或者选择了“”。Copyright 2014Technologies Co.,.s.Page 242.4、网络扩展故障故障九、SSL终端用户无法内网资源原原因一：内网服务器设置异常。原因二：SVN上配置了用户内网资源的策略。原因三：SVN与内网服务器路由不可达。原因四：通过网络扩展功能内网资源。原因五：SVN上配置的内网资源不正确。原因六：中间SVN配置了内网资源的ACL。Copyright 2014Technologies Co.,.s.Page 252.4、网络扩展故障故障十、Mac客户端无法启用网络扩展原原因一：虚拟网关处未开

14、启网络扩展功能。原因二：网络连接故障。原因三：客户端的服务器设置错误。原因四：SVN不允许用户控制策略相关资源。Copyright 2014Technologies Co.,.s.Page 262.4、网络扩展故障故障十一、Android客户端无法启用网络扩展原原因一：Android原因二：Android未获得root权限。没有安装tun驱动。原因三：虚拟网关处未开启网络扩展功能。原因四：SVN上的控制策略不允许用户网络扩展资源。原因五：网络连接故障。Copyright 2014Technologies Co.,.s.Page 272.5、端口转发故障故障一、用户无法端口转发资源原原因一：网络

15、连接故障。原因二：端口转发未启用。原因三：用户连接超时。原因四：内网服务器没有开启相应的端口。原因五：虚拟网关策略设置错误。Copyright 2014Technologies Co.,.s.Page 282.5、端口转发故障故障二、在Windows Vista和Windows 7操作系统下无法机名资源端口转发主能原在Windows Vista和Windows 7操作系统下端口转发主机名资源时，如果Windows Vista和Windows 7操作系统查询不到该内网资源的路由，系统将不会尝试和内网资源建立TCP连接，从而导致用户不能资源。内网通常情况下操作系统中会存在一条默认路由，当系统有默认

16、路由时不存在上述问题。对于Windows XP系统，不存在对内网资源查询路由表的步骤，因此不存在上述问题。Copyright 2014Technologies Co.,.s.Page 292.5、端口转发故障故障三、在环境下，在某些启动后，无法需要使用网络浏览器的端口转发资源能原当ISA Cnt等会修改网络浏览器设置的运行时，网络浏览器的设置被修改，导致无法需要使用网络浏览器的端口转发资源。Copyright 2014Technologies Co.,.s.Page 302.5、端口转发故障故障四、SSL端口转发功能不可用原原因一：当前登录客户端PC操作系统的用户不是Administrator

17、组成员。原因二：当前客户端PC的操作系统不是Windows 7或Windows Vista。原因三：要的内网资源没有显示在端口转发资源列表中。原因四：端口转发组件在杀毒中。Copyright 2014Technologies Co.,.s.Page 312.6、文件共享故障故障一、提示“失败，存在网络连接问题。请与管理员联系。”原原因一：该文件共享资源对应的文件服务器不存在或文件服务器和SVN的路由不可达。原因二：该文件共享资源的主机地址为务器或配置错误。，而虚拟网关没有配置DNS服Copyright 2014Technologies Co.,.s.Page 322.6、文件共享故障故障二、提

18、示“失败，服务器中此文件或目录不存在。”原文件服务器上不存在该目录或者当前资源对应的文件服务目录未开启共享。Copyright 2014Technologies Co.,.s.Page 332.6、文件共享故障故障三、提示“失败，没有足够的权限进行操作。”原原因一：输入的用户名或错误。原因二：用户没有操作该共享目录的权限。Copyright 2014Technologies Co.,.s.Page 342.6、文件共享故障故障四、可以查看目录和文件，但无法上传和删除、重命名文件原原因一：如果文件服务器的类型为NFS，说明用户UID和GID的属性不允许用户进行上传、删除或重命名文件的操作。NFS文件服务器根据登录用户的UID和GID进行资源的权限控制。NFS类型的共享文件可设置三种用户群：拥有者、同组用户、其他用户。这三种用户群的文件权限可以设为不同，说明用户根据UID和G