NSX Advanced Load Balancer では、NSX Advanced Load Balancer のアプリケーション ログで SSL クライアントの暗号の詳細をキャプチャできます。クライアントから送信された暗号を client hello SSL パケットに記録します。仮想サービスとの SSL 接続を確立するために使用される暗号の詳細は、アプリケーション ログで確認できます。

共有暗号なしエラー

サポートされていない暗号をクライアントが使用している場合、仮想サービスでは「共有暗号がありません」エラーをアプリケーション ログに記録して接続を終了します。「共有暗号がありません」エラーの原因は次のとおりです。

  • クライアントから、仮想サービスの SSL プロファイルに構成されていない暗号が送信された。

  • クライアントから、仮想サービスの証明書の認証タイプと一致しない暗号が送信された。

    • たとえば、仮想サービスで RSA 証明書のみが構成されていて、クライアントから ECDSA 暗号が送信された場合。

  • クライアントから、SSL/TLS プロトコルと一致しない暗号が送信された。

    • たとえば、仮想サービスで TLS1.2 プロトコルが有効になっていないときに、クライアントから AES256-GCM-SHA394 TLS 1.2 暗号が送信された場合（SSL プロファイルでこの暗号が有効になっている場合でも）。

この問題のいずれかが発生した場合は、クライアントが client hello の一部として送信した暗号を表示すると役に立ちます。必要な変更を仮想サービスまたはクライアント構成に対して実行して、問題を修正できます。

クライアントから client hello の 180-200 間の任意の暗号を送信し、サーバでそのうちの 1 つを選択します。

どの暗号が選択されるかは、仮想サービスで有効化されている暗号やプロトコル、構成されている証明書のタイプなど、さまざまな要因によって異なります。仮想サービスで暗号を 1 つも選択できない場合、SSL 接続は「SSL エラー: 共有暗号がありません」エラーで失敗します。このような場合、NSX Advanced Load Balancer はクライアントが送信したすべての暗号をアプリケーション ログに記録します。

クライアントの暗号リストへのアクセス

クライアントの暗号リストには、アプリケーション ログの REST API 要求を介してアクセスできます。特定された暗号と特定されていない暗号は、アプリケーション ログ内のフィールド client_cipher_list を使用してチェックされます（ここに場所を追加）。

no shared ciphers SSL エラーは、クライアントから送信される暗号に従って、仮想サービスまたはクライアント構成に必要な変更を加えることで修正できます。