F5 负载均衡器和 Fortigate 200d 防火墙之间的 TLSv1.2 问题 - SSL 错误 MAC 读取错误答案

【问题标题】：TLSv1.2 Issues Between F5 Load Balancer and Fortigate 200d Firewall - SSL Error Bad MAC ReadF5 负载均衡器和 Fortigate 200d 防火墙之间的 TLSv1.2 问题 - SSL 错误 MAC 读取错误
【发布时间】：2015-06-12 08:50:52
【问题描述】：

我在尝试使用 Firefox 36.0.4 登录安全网站后收到以下错误。（错误代码：ssl_error_bad_mac_read）。当我点击页面时不会发生错误，而是在我输入凭据并单击登录后发生。

此问题从 Firefox 版本 35 开始出现。使用任何版本的 IE 或 Chrome 都不会出现此问题。如果我进入 Firefox 配置并设置 security.tls.version.max = 2，我不会收到此错误。（security.tls.version.max 的默认值为 3）。这向我表明 TLSv1.1 和更低版本可以正常工作。

仅当我的 Internet 流量通过我的办公室防火墙传出，然后通过 Web 服务器所在的远程站点的 F5 1600 负载平衡器传入时，才会出现此特定问题。如果我在本地（本地 IP）访问 F5 后面的网站，则不会发生此问题。如果我在办公室外访问网站，也不会出现此问题。可以使用任何操作系统（Mac、Linux 和 Windows）上的任何浏览器重新创建此问题。

要发生此问题，必须满足以下条件：

a.)网络流量必须通过 Fortigate 200d 防火墙和 F5。

b.)使用 Firefox 35 及更高版本

c.)使用默认浏览器 TLS 设置

Fortigate 固件版本：v5.2.2,build642 (GA) BigIP- F5 LTM 1600 固件版本：11.4.0

【问题讨论】：

标签： firefox ssl web fortify f5

【解决方案1】：

这可能与 Forintet 路由器/防火墙上的“SSL/TLS 检查”功能有关。此函数尝试加密和解密 TLS 流量，但它在 TLS 协商中出错（它修改了关于 TLS 版本的“Client Hello”或“Server Hello”消息）。

就我而言，解决方案是在路由器 Fortingate 上禁用此功能。

【讨论】：