Přístup nezdaří SNI SSL weby pomocí ohrožení Management Gateway 2010, pokud je povolena kontrola HTTPS

Příznaky

Jde o takovouto situaci:

• Pokusu o přístup k webu protokol SSL (Secure Sockets Layer) (SSL) pomocí Microsoft Forefront Threat Management brány 2010.

• Web Server název označení (SNI) používá k určení, který certifikát sloužit.

• Hrozby správa brány HTTPS inspekce je povoleno.

• Hrozby správa brány serveru používá webové zřetězení odesílat odchozí webové požadavky na těžební proxy server.

• (Na KB 2545464) je povoleno nastavení parametru dodavatele HTTPSiDontUseOldClientProtocols .

V tomto scénáři nelze získat přístup k webu.

Příčina

K tomuto problému dochází, protože hrozby správa brány vytvoří nesprávné záhlaví SNI, který způsobuje chyby připojení nebo webový server.

Řešení

Chcete-li vyřešit tento problém, použití této opravy hotfix na všech členů pole hrozby správa brány. Tato oprava hotfix není povolena ve výchozím nastavení. Po instalaci této opravy hotfix, postupujte takto Chcete-li povolit tuto opravu:

1. Zkopírujte následující skript do textového editoru, například programu Poznámkový blok a potom jej uložte jako UseOriginalHostNameInSslContex.vbs:
   
   

   '' Copyright (c) Microsoft Corporation. All rights reserved.
   ' THIS CODE IS MADE AVAILABLE AS IS, WITHOUT WARRANTY OF ANY KIND. THE ENTIRE
   ' RISK OF THE USE OR THE RESULTS FROM THE USE OF THIS CODE REMAINS WITH THE
   ' USER. USE AND REDISTRIBUTION OF THIS CODE, WITH OR WITHOUT MODIFICATION, IS
   ' HEREBY PERMITTED.
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ' This script forces TMG to use original host name for SSL context when connecting to target server via upstream proxy
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "UseOriginalHostNameInSslContex"
   Const SE_VPS_VALUE = TRUE
   Sub SetValue()
       ' Create the root object.
       Dim root
       ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
       'Declare the other objects that are needed.
       Dim array       ' An FPCArray object
       Dim VendorSets
       ' An FPCVendorParametersSets collection
       Dim VendorSet
       ' An FPCVendorParametersSet object
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
       If Err.Number <> 0 Then
           Err.Clear        ' Add the item.
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
       Else
           WScript.Echo "Existing VendorSet found... value: " &  VendorSet.Value(SE_VPS_NAME)
       End If
       if VendorSet.Value(SE_VPS_NAME)  <>  SE_VPS_VALUE Then
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   End Sub
   Sub CheckError()
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   End Sub
   SetValue
   

2. Zkopírujte soubor skriptu členů pole hrozby správa brány a potom poklepejte na soubor je skript spuštěn.

Chcete-li obnovit výchozí chování, postupujte takto:

1. Vyhledejte následující řádek skriptu:
   
   

   Const SE_VPS_VALUE = true

2. Změňte tento řádek následujícím způsobem:
   
   

   Const SE_VPS_VALUE = false

3. Spusťte skript na jeden z členů pole hrozby správa brány.

Další informace

Přístup k funkci SSL zabezpečení TLS (Transport Layer), který umožňuje klientovi odeslat záhlaví ve zprávě "Hello" klienta SSL, která označuje, které plně kvalifikovaný název domény (FQDN) je SNI. Tato akce umožňuje serveru k určení, který certifikát odeslat klientovi podle záhlaví SNI.

Pokud je povoleno hrozby správa brány SSL inspekce, hrozby správa brány zpracovává vyjednávání protokolu SSL na cílovém webovém serveru a je identifikován jako klient vyjednávání SSL serveru WWW.

Záhlaví SNI hrozby správa brány nesprávně vytvoří pomocí názvu serveru v opačném směru a není cílový název webového serveru, pokud jsou splněny následující podmínky:

• Hrozby správa brány je za proxy server.

• Hrozby správa brány zřetězí odchozí požadavky na server nejvyšší úrovně hrozby správa brány.

• Na KB 2545464je povoleno nastavení parametru dodavatele HTTPSiDontUseOldClientProtocols .

To může způsobit chyby připojení nebo chybám na serveru WWW, podle toho, jak webový server reaguje na nesprávné záhlaví SNI.