Edge Security Acceleration:error 525 — SSL handshake gagal

Gejala dan penyebab

Gejala: Halaman menampilkan HTTP ERROR 525 dengan pesan "Origin SSL Handshake Error".

Akar penyebab: Proses jabat tangan SSL/TLS antara node edge ESA dan server origin gagal.

Tabel berikut mencantumkan kemungkinan penyebab beserta solusi yang sesuai. Jika Anda tidak yakin penyebab mana yang berlaku, ikuti bagian-bagian tersebut sesuai urutan yang tercantum.

Periksa sertifikat SSL server origin

Jalankan perintah openssl berikut untuk menguji validitas sertifikat origin:

openssl s_client -connect <origin IP>:443 -servername your-domain.com

Ganti <origin IP> dengan alamat IP server origin Anda, dan your-domain.com dengan nama domain Anda.

Pada output perintah, pastikan tiga hal berikut:

• Sertifikat origin belum kedaluwarsa.

• Sertifikat origin bukan sertifikat tanda tangan sendiri. Sertifikat tanda tangan sendiri tidak dapat dipercaya di jaringan publik oleh ESA.

• Nama domain pada sertifikat sesuai dengan nama domain back-to-origin.

Periksa kompatibilitas versi TLS dan paket sandi

1. Di Konsol ESA, pilih Websites, lalu pada kolom Website, klik situs target.

2. Di panel navigasi kiri, pilih SSL/TLS > Client SSL.

3. Periksa pengaturan versi TLS minimum (misalnya, TLS 1.1). Coba nonaktifkan TLS 1.1 dan pertahankan hanya TLS 1.2 serta versi yang lebih baru.

   Penting

   Sebelum menonaktifkan TLS 1.1, pastikan tidak ada klien lawas dalam bisnis Anda (seperti Android 4.x atau Internet Explorer di Windows XP) yang bergantung pada versi ini. Jika ada, pengguna tersebut tidak akan dapat mengakses situs Anda.

4. Pastikan paket sandi server origin kompatibel dengan ESA.

Konfigurasikan back-to-origin SNI

Jika beberapa situs HTTPS dideploy di server origin dan dibedakan berdasarkan SNI, konfigurasikan back-to-origin SNI:

1. Di Konsol ESA, pilih Websites, lalu pada kolom Website, klik situs target.

2. Di panel navigasi kiri, pilih Rules > Origin Rules, lalu klik Create rule.

3. Pada aturan tersebut, atur back-to-origin SNI ke nama domain situs Anda (misalnya, www.example.com).

Beralih ke back-to-origin HTTP

Jika masalah sertifikat HTTPS server origin tidak dapat segera diselesaikan, Anda dapat sementara beralih ke back-to-origin HTTP:

1. Di Konsol ESA, pilih Websites, lalu pada kolom Website, klik situs target.

2. Di panel navigasi kiri, pilih Rules > Origin Rules, lalu atur protokol origin ke HTTP dan port origin ke 80.

   Akses HTTPS dari klien tidak terpengaruh (sertifikat edge ESA tetap berlaku). HTTP digunakan antara ESA dan server origin.

Verifikasi perbaikan

Setelah menerapkan solusi untuk penyebab yang relevan, jalankan curl -Iv https://your-domain.com untuk memverifikasi hasilnya:

• Jika Anda memperbaiki sertifikat origin, pengaturan TLS, atau back-to-origin SNI, proses jabat tangan SSL antara node edge dan server origin berhasil.

• Jika Anda beralih ke back-to-origin HTTP, tidak ada proses jabat tangan SSL yang dilakukan antara node edge dan server origin.

  Dalam kedua kasus tersebut, pastikan header proxy-status pada respons tidak lagi berisi connection_timeout atau error SSL.