Os procedimentos de solução de problemas dependem do tipo de certificado SSL usado.
Resolver problemas em certificados gerenciados pelo Google
Para certificados gerenciados pelo Google, existem dois tipos de status:
- Status gerenciado
- Status do domínio
Status gerenciado
Para verificar o status do certificado, execute o comando a seguir:
gcloud compute ssl-certificates describe CERTIFICATE_NAME \
--global \
--format="get(name,managed.status)"
Os valores para status gerenciado são os seguintes:
| Status gerenciado | Explicação |
|---|---|
PROVISIONING |
O certificado gerenciado pelo Google foi criado e Google Cloud está trabalhando com a autoridade de certificação para assiná-lo. O provisionamento de um certificado gerenciado pelo Google pode levar até 60 minutos a partir do momento em que as alterações de configuração do DNS e do balanceador de carga se propagarem pela Internet. Se você tiver atualizado a configuração de DNS recentemente, poderá levar um tempo significativo para que as alterações sejam propagadas totalmente. Às vezes, a propagação leva até 72 horas no mundo todo, mas geralmente leva algumas horas. Para saber mais sobre a propagação de DNS, consulte Propagação de alterações. Se o certificado permanecer no estado |
ACTIVE |
O certificado SSL gerenciado pelo Google é obtido da autoridade de certificação. Ele pode levar 30 minutos adicionais para ficar disponível e poder ser usado por um balanceador de carga. |
PROVISIONING_FAILED |
É possível ver rapidamente PROVISIONING_FAILED mesmo se
seu certificado estiver ACTIVE.
Verifique novamente o status. Se o status continuar PROVISIONING_FAILED
o certificado gerenciado pelo Google foi criado, mas a
autoridade de certificação não pode assiná-lo. Verifique se você concluiu
todas as etapas em Como usar certificados SSL gerenciados
pelo Google. O Google Cloud tenta o provisionamento até ser bem-sucedido ou o status mudar para PROVISIONING_FAILED_PERMANENTLY.
|
PROVISIONING_FAILED_PERMANENTLY |
O certificado gerenciado pelo Google é criado, mas a
autoridade de certificação não pode assiná-lo devido a um problema de configuração
do DNS ou do balanceador de carga. Nesse
estado,o Google Cloud não repete o provisionamento. Crie um certificado SSL gerenciado pelo Google de substituição e verifique se a substituição está associada ao proxy de destino do seu balanceador de carga. Verifique ou conclua todas as etapas em Como usar certificados SSL gerenciados pelo Google. Em seguida, será possível excluir o certificado que falhou o provisionamento permanentemente. |
RENEWAL_FAILED |
Falha na renovação do certificado gerenciado pelo Google devido a um problema no balanceador de carga ou na configuração do DNS. Se algum dos domínios ou subdomínios em um certificado gerenciado não estiver apontando para o endereço IP do balanceador de carga usando um registro A/AAAA, o processo de renovação falhará. O certificado atual continua sendo exibido, mas expira em breve. Verifique a configuração. Se o status permanecer Para mais informações sobre a renovação de certificados, consulte Renovação do certificado SSL gerenciado pelo Google. |
Status do domínio
Para verificar o status do domínio, execute o comando a seguir:
gcloud compute ssl-certificates describe CERTIFICATE_NAME \
--global \
--format="get(managed.domainStatus)"
Os valores para status de domínio estão descritos nesta tabela.
| Status do domínio | Explicação |
|---|---|
PROVISIONING |
O certificado gerenciado pelo Google é criado para o domínio. Google Cloud está trabalhando com a autoridade de certificação para assinar o certificado. |
ACTIVE |
O domínio foi validado com sucesso para o provisionamento do
certificado. Se o certificado SSL for para vários domínios, o certificado só poderá ser provisionado quando todos os domínios tiverem o status
ACTIVE e o status gerenciado do
certificado também for ACTIVE.
|
FAILED_NOT_VISIBLE |
O provisionamento de certificado não foi concluído para o domínio. O problema pode ser:
PROVISIONING,o Google Cloud continuará tentando
provisionar, mesmo que o status do domínio seja
FAILED_NOT_VISIBLE.
|
FAILED_CAA_CHECKING |
Falha no provisionamento de certificado devido a um problema de configuração no registro CAA do seu domínio. Verifique se você seguiu o procedimento correto. |
FAILED_CAA_FORBIDDEN |
Falha no provisionamento de certificado devido ao registro CAA do seu domínio não especificar uma CA que Google Cloud precisa usar. Verifique se você seguiu o procedimento correto. |
FAILED_RATE_LIMITED |
Falha no provisionamento de certificado devido a uma autoridade de certificação ter solicitações de assinatura de certificado com limitação de taxa. É possível provisionar um novo certificado, mudar para o novo certificado e excluir o antigo ou entrar em contato com o Google Cloud suporte. |
Renovação de certificados gerenciados
Para garantir que seus certificados não falhem na etapa de validação de domínio do processo de renovação, consulte os requisitos para seus registros DNS A e AAAA.
Validação de domínio com várias perspectivas
OGoogle Cloud renova periodicamente seus certificados gerenciados pelo Google, solicitando-os de autoridades certificadoras (ACs). As ACs com que Google Cloud trabalha para renovar seus certificados usam um método de validação de domínio multiperspectiva conhecido como Multi-Perspective Issuance Corroboration (MPIC). Como parte desse processo, as autoridades certificadoras verificam o controle do domínio analisando as configurações de DNS do domínio e, em alguns casos, tentando entrar em contato com o servidor por trás do endereço IP do domínio. Essas verificações são realizadas de vários pontos de vista na Internet. Se o processo de validação falhar, os certificados gerenciados pelo Google não serão renovados. Como resultado, o balanceador de carga oferece um certificado expirado aos clientes, fazendo com que os usuários do navegador encontrem erros de certificado e os clientes da API tenham falhas de conexão.
Para evitar falhas de validação de domínio de várias perspectivas em registros DNS configurados incorretamente, observe o seguinte:
- Seus registros DNS A (IPv4) e DNS AAAA (IPv6) dos seus domínios e subdomínios apontam somente para o endereço IP associado às regras de encaminhamento do balanceador de carga. A existência de outros endereços no registro pode causar a falha da validação.
- A AC, que realiza a validação de registros DNS, consulta registros DNS de vários locais. Verifique se o provedor de DNS responde de forma consistente a todas as solicitações de validação de domínio global.
- O uso de GeoDNS (que retorna endereços IP diferentes com base no local da solicitação) ou políticas de DNS com base na localização pode gerar respostas inconsistentes e causar falha na validação. Se o provedor de DNS usar o GeoDNS, desative-o ou verifique se todas as regiões retornam o mesmo endereço IP do balanceador de carga.
- É necessário especificar explicitamente os endereços IP do balanceador de carga na configuração do DNS. Camadas intermediárias, como um CDN, podem causar um comportamento imprevisível. O endereço IP precisa ser acessível diretamente sem redirecionamentos, firewalls ou CDNs no caminho da solicitação. Para saber mais, consulte a seção Balanceadores de carga por trás de um CDN neste documento.
- Recomendamos que você use um verificador de propagação global de DNS de sua escolha para verificar se todos os registros DNS relevantes são resolvidos corretamente e de forma consistente em todo o mundo.
Verificar mudanças de configuração
Depois de configurar os registros DNS, é possível verificar se eles estão corretos criando um novo certificado e conectando-o ao balanceador de carga com o certificado atual. Esta etapa força uma verificação imediata do provisionamento de certificados com a AC, permitindo que você verifique as mudanças de configuração em minutos. Sem isso, as renovações automáticas do certificado atual podem levar dias ou semanas, deixando a configuração incerta.
Se o status do certificado for ACTIVE, isso indica que
o certificado foi emitido, confirmando que a configuração de DNS
está correta. Nesse ponto, recomendamos que você remova o certificado anterior
para evitar ter dois certificados separados para o mesmo domínio. Esse processo
não interrompe o tráfego para o balanceador de carga.
O novo certificado serve como uma ferramenta de validação. A criação dele confirma que a validação de domínio de múltiplas perspectivas usando o MPIC funciona corretamente para sua configuração.
Balanceadores de carga por trás de uma CDN
Para balanceadores de carga com o CDN ativado, alguns provedores de CDN de terceiros no caminho de solicitação podem impedir o sucesso de solicitações de validação. Isso pode acontecer se o provedor de CDN estiver fazendo proxy do tráfego HTTP(S) ativamente.
Nesses casos, recomendamos migrar seus certificados para o Gerenciador de certificados e usar o método de autorização de DNS para provisionar certificados gerenciados pelo Google. A segunda abordagem não exige que a AC entre em contato com o balanceador de carga.
Resolver problemas de certificados SSL autogerenciados
Neste guia, descrevemos como solucionar problemas de configuração de certificados SSL autogerenciados.
Não é possível analisar o certificado
Google Cloud exige certificados no formato PEM. Se o certificado estiver no formato PEM, verifique o seguinte:
Para validar seu certificado, use o seguinte comando OpenSSL, substituindo CERTIFICATE_FILE
pelo caminho para o arquivo do seu certificado:
openssl x509 -in CERTIFICATE_FILE -text -noout
Se o OpenSSL não puder analisar seu certificado:
- Entre em contato com sua CA para receber ajuda.
- Crie uma nova chave privada e um certificado.
Nome comum ou nome alternativo do assunto ausente
Google Cloud exige que seu certificado tenha um atributo de nome comum
(CN) ou de nome alternativo do assunto (SAN). Consulte Criar um
CSR para
mais informações.
Quando ambos os atributos estão ausentes, Google Cloud mostra uma mensagem de erro como esta, ao tentar criar um certificado autogerenciado:
ERROR: (gcloud.compute.ssl-certificates.create) Could not fetch resource:
- The SSL certificate is missing a Common Name(CN) or Subject Alternative
Name(SAN).
Não é possível analisar a chave privada
Google Cloud exige chaves privadas no formato PEM que atendam aos critérios de chave privada.
Você pode validar sua chave privada usando o seguinte comando OpenSSL, substituindo
PRIVATE_KEY_FILE pelo caminho para sua chave privada:
openssl rsa -in PRIVATE_KEY_FILE -check
As respostas a seguir indicam um problema com a chave privada:
unable to load Private KeyExpecting: ANY PRIVATE KEYRSA key error: n does not equal p qRSA key error: d e not congruent to 1RSA key error: dmp1 not congruent to dRSA key error: dmq1 not congruent to dRSA key error: iqmp not inverse of q
Para corrigir esse problema, crie uma nova chave privada e um certificado.
Chaves privadas com senha longa
Se o OpenSSL solicitar uma senha longa, será preciso removê-la da sua chave privada antes de usá-la com Google Cloud. Use o seguinte comando OpenSSL:
openssl rsa -in PRIVATE_KEY_FILE \
-out REPLACEMENT_PRIVATE_KEY_FILE
Substitua os marcadores por valores válidos:
PRIVATE_KEY_FILE: o caminho para a chave privada protegida com uma senha longaREPLACEMENT_PRIVATE_KEY_FILE: o caminho em que você quer salvar uma cópia da chave privada de texto simples.
Certificados intermediários expirados
Se um certificado intermediário expirar antes do certificado do servidor (folha), isso poderá indicar que sua CA não está seguindo as práticas recomendadas.
Quando um certificado intermediário expira, seu certificado de folha usado em Google Cloud pode se tornar inválido. Isso depende do cliente SSL, como descrito a seguir:
- Alguns clientes SSL só analisam o tempo de expiração do certificado folha e ignoram os certificados intermediários expirados.
- Alguns clientes SSL tratam como inválida uma cadeia com certificados intermediários expirados e exibem um aviso.
Para resolver o problema:
- Aguarde a CA alternar para um novo certificado intermediário.
- Solicite um novo certificado.
- Faça um outro upload do novo certificado com as novas chaves.
Sua CA também pode permitir a assinatura cruzada para certificados intermediários. Verifique com sua CA para confirmar.
O expoente público RSA é muito grande
A seguinte mensagem de erro aparece quando o expoente público RSA é maior
que 65537. Use 65537, conforme especificado na RFC 4871.
ERROR: (gcloud.compute.ssl-certificates.create) Could not fetch resource:
- The RSA public exponent is too large.
Remover certificado SSL do proxy de destino
Confira nas etapas a seguir como remover um único certificado SSL anexado ao proxy HTTPS de destino:
Exporte o proxy HTTPS de destino para um arquivo temporário.
gcloud compute target-https-proxies export TARGET_PROXY_NAME > /tmp/proxy
Edite o arquivo
/tmp/proxye remova as linhas a seguir:sslCertificates: - https://www.googleapis.com/compute/v1/projects/...Importe o arquivo
/tmp/proxy.gcloud compute target-https-proxies import TARGET_PROXY_NAME \ --source=/tmp/proxy
Opcional: exclua o certificado SSL.
gcloud compute ssl-certificates delete SSL_CERT_NAME
Substitua:
TARGET_PROXY_NAME: o nome do recurso do proxy HTTPS de destino.SSL_CERT_NAME: o nome do certificado SSL.