Fehlerbehebung bei TLS-Problemen

Einführung

Bei der Konfiguration von TLS für einen GO-Global Application Host Manager – wie beispielsweise einen Relay Load Balancer oder Farm Manager – ist es unerlässlich, dass die Zertifikateinstellungen auf allen verbundenen Hosts einheitlich sind. Die auf den Anwendungshosts angegebenen Hostnamen müssen mit dem Common Name (CN), der Wildcard-Domain oder den Subject Alternative Names (SAN) übereinstimmen, die im TLS-Zertifikat aufgeführt sind, um eine sichere Kommunikation und eine erfolgreiche Registrierung in der Admin-Konsole zu gewährleisten. Dieser Leitfaden beschreibt wichtige Anforderungen an die TLS-Konfiguration, häufige Verbindungsfehler sowie Schritte zur Fehlerbehebung bei Zertifikats- und Vertrauensproblemen.

Hinweise zum Application Host Manager

Wenn ein Anwendungshost-Manager (d. h. ein Relay-Load-Balancer oder Farm-Manager) für die Verwendung von TLS konfiguriert ist, muss der Name, der in das Feld „Relay-Load-Balancer“ oder „Farm-Manager“ auf den Anwendungshosts eingegeben wird, mit dem Common Name, der Wildcard-Domäne oder einem der Subject Alternative Names (SAN) des Zertifikats übereinstimmen. Wenn diese nicht übereinstimmen oder wenn ein Problem mit dem Zertifikat vorliegt, können die Anwendungshosts keine Verbindung zum Anwendungshost-Manager herstellen und werden in der Verwaltungskonsole nicht unter dem Anwendungshost-Manager angezeigt.

Hinweis:
Informationen zur Verwendung des TLS-Protokolls mit Farms-Hosts und Host-Managern finden Sie unter:

• Beenden von TLS auf den GO-Global-Hosts
  
• Lastenausgleich – Wiederherstellung des Anwendungs-Host-Managers

Fehlerbehebung bei TLS-Problemen zwischen Anwendungshosts und Anwendungshost-Managern

Wenn ein Anwendungshost in der Baumansicht der Admin-Konsole unter dem Anwendungshost-Manager nicht angezeigt wird, überprüfen Sie das Protokoll des Anwendungsveröffentlichungsdienstes. Wenn darin eine Meldung enthalten ist, dass das Zertifikat ungültig ist, liegt ein Problem mit der TLS-Konfiguration vor. Mögliche Ursachen sind:

• Der Name, der im Feld „Relay Load Balancer“ oder „Farm Manager“ auf dem Anwendungshost eingegeben wurde, stimmt nicht mit dem Common Name, der Platzhalterdomäne oder einem der Subject Alternative Names (SAN) des Zertifikats überein.
  
• Der Zertifikatsdatei auf dem Application Host Manager sind ein oder mehrere Zwischenzertifikate nicht angehängt.
  
• Das Zertifikat auf dem Application Host Manager liegt nicht im PEM-Format vor.
  
• Das Zertifikat auf dem Application Host Manager wird vom Application Host nicht als vertrauenswürdig eingestuft (d. h., das Stammzertifikat in der Zertifikatskette des Zertifikats ist nicht in der Liste der vertrauenswürdigen Stammzertifikate auf dem Application Host enthalten).
  
• Das Zertifikat ist abgelaufen oder das Systemdatum ist falsch.

Bei der Fehlerbehebung in solchen Fällen kann es manchmal hilfreich sein, AppController auf dem Anwendungshost auszuführen und zu versuchen, eine Verbindung zum Application Host Manager herzustellen. Dies kann hilfreich sein, da AppController zusätzliche Informationen zu TLS-Fehlern liefert.

So geht's:

Navigieren Sie auf dem Anwendungshost zum Verzeichnis „GO-Global\Programs“ und doppelklicken Sie auf „AppController.exe“.

Geben Sie die Adresse des Application Host Managers in das Dialogfeld „Verbindung“ ein. Geben Sie die Adresse genau so ein, wie sie im Feld „Relay Load Balancer“ oder „Farm Manager“ des Dialogfelds „Host-Optionen“ auf dem Application Host angegeben ist.

Klicken Sie auf „Verbinden“.

Wenn eine TLS-Warnmeldung angezeigt wird, wird das Problem im Dialogfeld beschrieben. Wenn beispielsweise angegeben wird, dass das Zertifikat von einer Organisation stammt, der Sie nicht vertrauen, liegt das Problem höchstwahrscheinlich darin, dass ein Zwischenzertifikat fehlt. Alternativ könnte es bedeuten, dass die Zertifikatskette des Zertifikats nicht in der Liste der vertrauenswürdigen Stammzertifikate auf dem Anwendungshost enthalten ist.

Die folgende Meldung veranschaulicht drei aufeinanderfolgende Warnungen, wie oben beschrieben.

In diesem Beispiel wurden folgende Probleme festgestellt:

• Das Zertifikat auf dem Application Host Manager wird vom Application Host nicht als vertrauenswürdig eingestuft (d. h., das Stammzertifikat in der Zertifikatskette des Zertifikats ist nicht in der Liste der vertrauenswürdigen Stammzertifikate auf dem Application Host enthalten).
• Das Zertifikat ist abgelaufen oder das Systemdatum ist falsch.
  
• Der Name, der im Feld „Relay Load Balancer“ oder „Farm Manager“ auf dem Anwendungshost eingegeben wurde, stimmt nicht mit dem Common Name, der Platzhalterdomäne oder einem der alternativen Namen des Zertifikats (SAN) überein.

Wenn kein TLS-Warnungsdialogfeld angezeigt wird, sondern eine andere Fehlermeldung erscheint (z. B. „Keine verfügbaren Hosts“), liegt das Problem wahrscheinlich nicht an der TLS-Konfiguration. Für die Zwecke dieses Tests können Sie alle Fehlermeldungen ignorieren, die sich nicht auf die Fähigkeit des Clients beziehen, eine Verbindung zum Application Host Manager herzustellen.

Schlussfolgerung

Die Gewährleistung einer korrekten TLS-Konfiguration zwischen Anwendungshosts und Anwendungshost-Managern ist für die Aufrechterhaltung sicherer und stabiler Verbindungen innerhalb einer GO-Global-Umgebung von entscheidender Bedeutung. Durch die Überprüfung der Richtigkeit, des Formats und der Vertrauensstellungen von Zertifikaten können Administratoren Verbindungsprobleme schnell erkennen und beheben. Im Zweifelsfall können Tools wie AppController detaillierte TLS-Diagnosen liefern und dabei helfen, Probleme wie abgelaufene Zertifikate oder nicht übereinstimmende Domänen zu lokalisieren. Bei korrekter Einrichtung und Überprüfung bleiben GO-Global-Umgebungen sowohl sicher als auch zuverlässig.

Sind Sie ein ISV, der sich mit der Bereitstellung von Cloud-basierten Anwendungen beschäftigt? Setzen Sie sich mit uns in Verbindung, um zu erfahren, wie GO-Global Ihnen helfen kann, den Software-Zugang für Ihre Endbenutzer zu optimieren. Oder laden Sie eine kostenlose Testversion herunter, um es selbst zu testen.