FortigateのChrome TLS 1.0/1.1 無効化ではまった件

2020.10.02

はじめに

社内でもChromeつながらないなどで、出てきたため、Fortigateのバージョンを上げた。

結果、なにやら悪化した感じだったので調査しました。。

Chrome 85にて、特定のサイトへアクセスすると、ERR_CONNECTION_CLOSEDでエラーページになる。

確認当初、IE11,旧edge,firefoxで該当サイトは閲覧できた。

数日後、firefoxでも見れなくなった。多分バージョンアップされたためだと思われる。

Client helloのLayer RecordがTLS1だった

tls1

「Windowsネットワーク診断ツールを実行する」をやってみる。診断後再接続すると接続できた。

直ったかと思ってブラウザを落として再度接続するとERR_CONNECTION_CLOSEDでエラーページになる。

どうもブラウザを終了してしまうとだめみたい。

なぜかIE１１を起動して接続できないページを閲覧して、Chromeで閲覧すると閲覧できる。怪。。

Chromeが接続できるようになったときのパケット

tls1.2

Layer RecordがTLS1.2だった。そりゃ見れるよね・・・

なぜ、TLS1無効化ブラウザーでClient helloのLayer RecordがTLS1なんだろか・・

閲覧ページにて、外部URLでCDN、AD用のタグなど外部読み込み先がTLS1.0が含まれていると。そのページ自体表示できないようだ。

FortiOS - Release Notes Version 6.2.5を見てみると下記の記述があり

Bug ID	Description
617934	If web filtering is enabled using a proxy-based firewall policy with SSL inspection also enabled, then connections to servers that still support less secure TLS versions may fail. Browser errors seen: Chrome: ERR_CONNECTION_CLOSED Firefox: PR_END_OF_FILE_ERROR Workaround: toggle affected firewall policies to flow-based inspection.

FortiOS 6.2.5のバグらしい。汗