firefox - F5 负载平衡器和 Fortigate 200d 防火墙之间的 TLSv1.2 问题 - SSL 错误 Bad MAC Read

Question

我在尝试使用 Firefox 36.0.4 登录安全网站后收到以下错误。 (错误代码:ssl_error_bad_mac_read)。当我点击页面时不会出现该错误，而是在我输入我的凭据并单击登录后出现。

此问题从 Firefox 版本 35 开始出现。使用任何版本的 IE 或 Chrome 都不会出现此问题。如果我进入 Firefox 配置并设置 security.tls.version.max = 2，我不会收到此错误。(security.tls.version.max 的默认值为 3)。这向我表明 TLSv1.1 和更低版本可以正常工作。

只有当我的互联网流量通过我的办公室防火墙，然后通过 Web 服务器所在的远程站点的 F5 1600 负载平衡器进入时，才会出现此特定问题。如果我在本地访问网站(本地 IP)，则不会出现此问题，该网站会出现在 F5 后面。如果我在办公室外访问该网站，也不会出现此问题。使用任何操作系统(Mac、Linux 和 Windows)上的任何浏览器都可以重现此问题。

要发生此问题，必须满足以下条件:

a.) 网络流量必须同时通过 Fortigate 200d 防火墙和 F5。

b.)使用 Firefox 35 及更高版本

c.)使用默认的浏览器 TLS 设置

Fortigate 固件版本:v5.2.2,build642 (GA)BigIP- F5 LTM 1600 固件版本:11.4.0

Answer 1

这可能与 Forintet 路由器/防火墙上的“SSL/TLS 检查”功能有关。此函数尝试加密和解密 TLS 流量，但它在 TLS 协商中做错了事(它修改了“Client Hello”或“Server Hello”消息，代替了有关 TLS 版本的信息)。

在我的例子中，解决方案是在路由器 Fortingate 上禁用此功能。