SSL プロキシログ

SSalpha表 1 でロギングが有効になっている場合。

表 1:SSL プロキシログ
Syslog タイプ	の説明
SSL_PROXY_SSL_SESSION_DROP	セッションが SSL プロキシーによってドロップされたときに生成されるログ。
SSL_PROXY_SSL_SESSION_ALLOW	マイナーエラーが発生した後でも、セッションが SSL プロキシによって処理されたときに生成されるログ。
SSL_PROXY_SESSION_IGNORE	非 SSL セッションが最初に SSL セッションと間違えられた場合に生成されるログ。
SSL_PROXY_SESSION_WHITELIST	セッションが許可リストに登録されたときに生成されるログ。
SSL_PROXY_ERROR	エラーの報告に使用されるログ。
SSL_PROXY_WARNING	警告の報告に使用されるログ。
SSL_PROXY_INFO	一般的な情報のレポートに使用されるログ。

SSL_PROXY_SESSION_WHITELISTとSSL_PROXY_INFOログを使用して、ログインしているURLを確認できます。例：

詳細については、システムログエクスプローラーを参照してください。

すべてのログには、次の例に示すような同様の情報が含まれています(実際の外観順)。

この message フィールドには、ログ生成の理由が含まれています。表 2 に示す 3 つのプレフィックスのうち 1 つは、メッセージの送信元を識別します。その他のフィールドには説明的なラベルが付いています。

表 2:SSL プロキシログプレフィックス
プレフィックスの	説明
システム	デバイスに関連するエラーまたは SSL プロキシープロファイルの一部として実行されたアクションによって生成されるログ。ほとんどのログはこのカテゴリーに分類されます。
openssl エラー	openssl ライブラリでエラーが検出された場合、ハンドシェイクプロセス中に生成されるログ。
証明書エラー	証明書でエラーが検出された場合のハンドシェイクプロセス中に生成されるログ(x509 関連のエラー)。

サンプルログ:

メモ：

これらのログは、SSL プロキシー・サービスも使用する他のモジュールによってマークされているセッションではなく、SSL プロキシーによってドロップされたセッションを取り込みます。

SSL_PROXY_SESSION_WHITELIST メッセージの場合、追加 host のフィールドは、の後に session-id 含まれており、許可リストに登録されているサーバーまたはドメインの IP アドレスが含まれます。

SSL プロキシーのデバッグとトレースの使用可能化

ルーティングエンジンとパケット転送エンジンの両方のデバッグトレースは、次の設定を設定することで SSL プロキシに対して有効にできます。

SSL プロキシーは、SRX340、SRX345、SRX380、SRX550M、SRX1500、SRX4100、SRX4200、SRX5400、SRX5600、SRX5800 デバイス、vSRX インスタンスでサポートされています。表 3 は、トレース・オプションでサポートされるレベルを示しています。

表 3:トレースレベル
原因タイプ	説明
短い	ルーティングエンジンとパケット転送エンジンの両方でエラートレースのみ。
詳細	パケット転送エンジン - ハンドシェイクまでのイベントの詳細のみをトレースする必要があります。ルーティングエンジン –コミットに関連するトレース。ルーティングエンジンの定期的なトレースは使用できません。
広範囲	パケット転送エンジン - データ転送の概要を利用できます。ルーティングエンジン –コミットに関連するトレース(より広範囲)。ルーティングエンジンの定期的なトレースは使用できません。
詳細	すべてのトレースを使用できます。

表 4 は、サポートされているフラグを示しています。

表 4:トレースでサポートされているフラグ
原因タイプ	説明
cli-configuration	構成関連のトレースのみ。
開始	SSL-I プラグインのトレースを有効にします。
プロキシ	SSL プロキシポリシープラグインのトレースを有効にします。
終了	SSL-T プラグインのトレースを有効にします。
選択プロファイル	設定した `enable-flow-tracing` プロファイルに対してのみトレースを有効にします。

SSL プロキシプロファイルのログを有効にして、ドロップの根本原因を確認できます。最も一般的なエラーは次のとおりです。

サーバー認定資格検証エラー。信頼できる CA 設定を確認して、設定を検証します。
メモリ割り当てエラーなどのシステム障害。
暗号が一致しない。
SSL バージョンが一致しません。
SSL オプションはサポートされていません。
ルート CA が期限切れになりました。新しいルート CA をロードする必要があります。

証明書の ignore-server-auth-failure 検証、ルート CA の有効期限日、およびその他の問題が無視されることを確認するには、SSL プロキシプロファイルでオプションを有効にできます。オプションが有効になった後にセッションが ignore-server-auth-failure 検査された場合、問題はローカライズされます。

このページ

SSL プロキシ ログ