Windows server 2008 R2 Erro Schannel 36887 alerta fatal 46

Question

Eu tenho um servidor que é protegido usando um certificado SSL da godaddy. O certificado parece estar funcionando bem para cerca de 30 clientes, mas um cliente não pode se conectar e eu não posso para a vida de mim descobrir o porquê.

Aqui está o erro nos logs de eventos do Windows. Estou usando o Windows 2008 Server R2:

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
<System>
<Provider Name="Schannel" Guid="{1F678132-5938-4686-9FDC-C8FF68F15C85}" /> 
<EventID>36887</EventID> 
<Version>0</Version> 
<Level>2</Level> 
<Task>0</Task> 
<Opcode>0</Opcode> 
<Keywords>0x8000000000000000</Keywords> 
<TimeCreated SystemTime="2016-01-07T18:14:25.883747000Z" /> 
<EventRecordID>380823</EventRecordID> 
<Correlation /> 
<Execution ProcessID="612" ThreadID="712" /> 
<Channel>System</Channel> 
<Computer>nfswebservice</Computer> 
<Security UserID="S-1-5-18" /> 
</System>
<EventData>
<Data Name="AlertDesc">46</Data> 
</EventData>
</Event>

Eu procurei isso e descobri que o alerta 46="TLS1_ALERT_CERTIFICATE_UNKNOWN", que parece ser um erro genérico, indicando apenas que "algo" está errado com o certificado.

A questão é que o certificado parece estar funcionando bem para todos os outros, exceto este cliente. O cliente envolvido está usando o ColdFusion 10 com o Java 7 para tentar conversar com o servidor e eles são os únicos que recebem um erro.

O que é ainda mais confuso é que até o servidor ser reiniciado há alguns dias, esse cliente estava funcionando bem. Então, sei que a reinicialização do servidor foi o gatilho, mas não consigo encontrar o que está errado.

Alguém pode me apontar na direção certa? Preciso descobrir mais detalhes sobre o erro e não tenho experiência em rastrear esses tipos de problemas. Existe outro log em algum lugar que eu deveria estar olhando?

    

Answer 1

Peça ao cliente ColdFusion para fazer um despejo de uma solicitação cfhttp para o seu servidor.

Peça-lhes uma captura de tela que despeje e poste aqui, se possível.

Acredito que o cliente (Java 7) pode ter um problema de armazenamento / cadeia de certificados com seu certificado. Apenas um palpite, mas o despejo deve fornecer alguma clareza.

Em qualquer caso, eles devem revisar o armazenamento de chaves para que a raiz / cadeia CA adequada confirme que eles possuem as certificações apropriadas em seu fim.