Shunze 學園 - 列印預覽: 《分享》Chrome45無法開啟NetSight

Shunze 學園 (http://www.shunze.info/forum/index.php)
|- Extreme & Enterasys (http://www.shunze.info/forum/board.php?boardid=31)
|-- 《分享》Chrome45無法開啟NetSight (http://www.shunze.info/forum/threadid.php?boardid=31&threadid=1919)

作者: shunze 發表時間: 2015-09-11, 09:38:

《分享》Chrome45無法開啟NetSight

Chrome在大改版的45版之後，多了很多龜龜毛毛的規定，
連NetSight的JSP web頁面也都因公開金鑰長度不足，而被Chrome拒絕執行！？
錯誤訊息如下：

伺服器的暫時 Diffie-Hellman 公開金鑰不足
ERR_SSL_WEAK_SERVER_EPHEMERAL_DH_KEY

對於像順子這樣不懂JSP，JAVA，Tomcat的人，有沒有什麼簡單的方法可以處理呢？

順子網路上找到一個方法，透過修改tomcat的 ciphers 參數，啟用ECDHE，
提供了Chrome可以接受的安全性等級，讓NetSight可以被Chrome執行。

修改流程如下，
NetSight的 server.xml 位於如下的路徑中，請以編輯工具開啟。

/usr/local/Extreme_Networks/NetSight/jboss/server/default/deploy/jbossweb-tomcat55.sar/server.xml

然後在40幾行的 Connector port="${enterasys.tomcat.https.port}" 區段中，找到 ciphers 參數。

ciphers 參數原本設定如下：

ciphers="${enterasys.tomcat.ciphers}"

將此參數修改為如下：

ciphers="TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,
TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384,
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,
TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDH_ECDSA_WITH_AES_128_GCM_SHA256,
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384,
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,
TLS_ECDH_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA384,
TLS_ECDH_RSA_WITH_AES_256_CBC_SHA,TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA,
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256,
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,
TLS_ECDH_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA256,
TLS_ECDH_RSA_WITH_AES_128_CBC_SHA,TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA"

將 server.xml 存檔後，重開機；
您就會發現Chrome己可以開啟NetSight的JSP頁面了～

參考資料
https://jamfnation.jamfsoftware.com/article.html?id=384

作者: shunze 發表時間: 2015-09-16, 14:14:

《分享》另一個解法

在 Extreme官方論壇找到另一個比較正統的解法。

由於server.xml裏，ciphers參數是參照 NSJBoss.properties 中的參數設定，
所以改server.xml還不如改參照的原始檔 NSJBoss.properties 來的正統。
一旦 NSJBoss.properties 改好了，所有參照它的設定也都一併生效，就邏輯上來不僅比較正統，而且也比較有效率！

NSJBoss.properties 設定檔位於如下的路徑中，請以編輯工具開啟。

/usr/local/Extreme_Networks/NetSight/appdata/NSJBoss.properties

找到 enterasys.tomcat.ciphers 參數，將內容由

enterasys.tomcat.ciphers=SSL_RSA_WITH_RC4_128_MD5,SSL_RSA_WITH_RC4_128_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_DHE_RSA_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA

修改為

enterasys.tomcat.ciphers=SSL_RSA_WITH_RC4_128_MD5,SSL_RSA_WITH_RC4_128_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_ECDH_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDH_DSS_WITH_AES_128_CBC_SHA,TLS_ECDHE_DSS_WITH_AES_128_CBC_SHA

上述修改主要就是將Mozilla與Chrome所不支援的 DHE 改為 ECDH 及 ECDHE，
然後將之前修改的server.xml裏的 ciphers 參數還原，
最後再重開機，Mozilla與Chrome就可以瀏覽NetSight的JSP頁面囉～

另外，NetSight已於6.3.0.162解決此問題了。
若安裝的是6.3.0.162版上以上的NetSight，就不需手動修正此問題了。

參考資料
Can't access Netsight in Firefox 39 due ...fie-Hellman key