回避策1–期限切れのルートCAへのフォールバックを防止します
apps.identrust.comへのアクセスをブロックすることで、期限切れのルートCAへのフォールバックを防ぐことができ正しいルートCAが使用されます。
これは、DNSブラックホールを使用するか、FQDNポリシーを使用してapps.identrust.comへのアクセスをブロックすることで実現できます。
これにより、FortiGateデバイスは証明書チェーンを再構築し、FortiGate上のローカルCA証明書で「ISRG_Root_X1」のCA証明書を利用するように強制されます。
config system dns-database
edit "1"
set domain "identrust.com"
config dns-entry
edit 1
set hostname "apps"
set ip 127.0.0.1
next
end
next
end
回避策2–期限切れの証明書を受け入れる
一時的な回避策として次のCLIを使用して、この証明書の有効期限の検証をオフにすることができます。
この方法は証明書の検査自体を無効にするためセキュリティリスクが存在します。
回避策1の方法で改善しない場合などに利用してください。
config firewall ssl-ssh-profile
edit "certificate-inspection"
config https
set expired-server-cert allow
set untrusted-server-cert allow
end
end