TLS alert 49 access_denied: что означает и как исправить

Что означает ошибка

Проверка сертификата или PSK прошла, но получателю запрещено продолжать соединение по правилам доступа.

Возможные причины

• Идентичность аутентифицирована, но не имеет права на этот сервис.
• ACL/mTLS policy не включает предъявленный subject, SAN или PSK identity.
• После изменения авторизации старое правило продолжает блокировать клиента.

Что проверить

• Определите идентичность, которую TLS endpoint извлёк из сертификата/PSK.
• Сверьте её с ACL и policy для конкретного listener.
• Проверьте audit log авторизации рядом с alert 49.

Безопасные шаги

1. Исправьте ACL или используйте разрешённую клиентскую идентичность.
2. Не заменяйте access control отключением проверки сертификатов.
3. После изменения подтвердите доступ именно для нужного principal, не расширяя права глобально.

Только безопасные обратимые действия. Опасные шаги — только по официальной инструкции и с пониманием рисков.

Когда нужен сервис

• При access_denied с валидным сертификатом приложите subject/SAN и идентификатор policy владельцу системы авторизации.

Похожие ошибки

• /errors/tls-alert-unexpected-message/
• /errors/tls-alert-bad-record-mac/
• /errors/tls-alert-record-overflow/

Что учитывать

Точная причина зависит от версии ПО/прошивки, полного текста ошибки и контекста. Официальная инструкция имеет приоритет.

Официальный источник

Расшифровка сверена с официальными страницами поддержки из источников ниже. Редакция N1RO не диагностировала ваш конкретный случай.

• RFC 8446 §6.2 — access_denied