Πρόσβαση αποτυγχάνει σε τοποθεσίες Web SNI SSL έως 2010 πύλη διαχείρισης απειλή, εάν είναι ενεργοποιημένη η επιθεώρηση HTTPS

Συμπτώματα

Εξετάστε το ακόλουθο σενάριο:

• Προσπαθείτε να αποκτήσετε πρόσβαση σε μια τοποθεσία Web Secure Sockets Layer (SSL) μέσω Microsoft Forefront απειλή διαχείρισης πύλη 2010.

• Η τοποθεσία Web χρησιμοποιεί ένδειξη όνομα διακομιστή (SNI) για να προσδιορίσετε ποια πιστοποιητικό για την εξυπηρέτηση.

• Είναι ενεργοποιημένη η επιθεώρηση HTTPS πύλη διαχείρισης απειλή.

• Ο διακομιστής πύλης διαχείρισης απειλή χρησιμοποιεί web αλυσιδωτή σύνδεση για την αποστολή εξερχόμενων αιτήσεων web σε ένα διακομιστή μεσολάβησης με ανιούσα πλευρά.

• Το σύνολο παραμέτρων προμηθευτή το HTTPSiDontUseOldClientProtocols είναι ενεργοποιημένη (ανά KB 2545464).

Σε αυτό το σενάριο, δεν έχετε πρόσβαση στην τοποθεσία Web.

Αιτία

Αυτό το ζήτημα παρουσιάζεται επειδή η πύλη διαχείρισης απειλή δημιουργεί μια εσφαλμένη κεφαλίδα SNI που προκαλεί σφάλματα σύνδεσης ή σφάλματα του διακομιστή web.

Προτεινόμενη αντιμετώπιση

Για να επιλύσετε αυτό το ζήτημα, εφαρμόστε αυτήν την επείγουσα επιδιόρθωση σε όλα τα μέλη πίνακα πύλη διαχείρισης απειλή. Αυτή η επείγουσα επιδιόρθωση δεν είναι ενεργοποιημένη από προεπιλογή. Μετά την εγκατάσταση αυτής της επείγουσας επιδιόρθωσης, πρέπει να ακολουθήσετε αυτά τα βήματα για να ενεργοποιήσετε την ενημέρωση κώδικα:

1. Αντιγράψτε την παρακάτω δέσμη ενεργειών σε ένα πρόγραμμα επεξεργασίας κειμένου όπως το Σημειωματάριο (Notepad) και, στη συνέχεια, να το αποθηκεύσετε ως UseOriginalHostNameInSslContex.vbs:
   
   

   '' Copyright (c) Microsoft Corporation. All rights reserved.
   ' THIS CODE IS MADE AVAILABLE AS IS, WITHOUT WARRANTY OF ANY KIND. THE ENTIRE
   ' RISK OF THE USE OR THE RESULTS FROM THE USE OF THIS CODE REMAINS WITH THE
   ' USER. USE AND REDISTRIBUTION OF THIS CODE, WITH OR WITHOUT MODIFICATION, IS
   ' HEREBY PERMITTED.
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ' This script forces TMG to use original host name for SSL context when connecting to target server via upstream proxy
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "UseOriginalHostNameInSslContex"
   Const SE_VPS_VALUE = TRUE
   Sub SetValue()
       ' Create the root object.
       Dim root
       ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
       'Declare the other objects that are needed.
       Dim array       ' An FPCArray object
       Dim VendorSets
       ' An FPCVendorParametersSets collection
       Dim VendorSet
       ' An FPCVendorParametersSet object
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
       If Err.Number <> 0 Then
           Err.Clear        ' Add the item.
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
       Else
           WScript.Echo "Existing VendorSet found... value: " &  VendorSet.Value(SE_VPS_NAME)
       End If
       if VendorSet.Value(SE_VPS_NAME)  <>  SE_VPS_VALUE Then
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   End Sub
   Sub CheckError()
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   End Sub
   SetValue
   

2. Αντιγράψτε το αρχείο δέσμης ενεργειών σε ένα μέλος της πύλης διαχείρισης απειλή πίνακα και, στη συνέχεια, κάντε διπλό κλικ στο αρχείο για να εκτελέσετε τη δέσμη ενεργειών.

Για να επαναφέρετε την προεπιλεγμένη συμπεριφορά, ακολουθήστε τα εξής βήματα:

1. Εντοπίστε την ακόλουθη γραμμή στη δέσμη ενεργειών:
   
   

   Const SE_VPS_VALUE = true

2. Αλλάξτε αυτήν τη γραμμή με το εξής:
   
   

   Const SE_VPS_VALUE = false

3. Εκτελέστε ξανά τη δέσμη ενεργειών σε ένα από τα μέλη του πίνακα πύλη διαχείρισης απειλή.

Περισσότερες πληροφορίες

SNI είναι γίνεται μια δυνατότητα SSL Transport Layer Security (TLS) που επιτρέπει σε έναν υπολογιστή-πελάτη για να στείλετε μια κεφαλίδα στο μήνυμα "Hello" υπολογιστή-πελάτη SSL που υποδεικνύει που πλήρως προσδιορισμένο όνομα τομέα (FQDN). Αυτή η ενέργεια επιτρέπει σε ένα διακομιστή για να προσδιορίσετε την οποία το πιστοποιητικό για να αποστείλετε στον υπολογιστή-πελάτη που βασίζεται στην επικεφαλίδα SNI.

Όταν είναι ενεργοποιημένη η επιθεώρηση SSL πύλη διαχείρισης απειλή, πύλη διαχείρισης απειλή χειρίζεται τη διαπραγμάτευση SSL στο διακομιστή web προορισμού και προσδιορίζεται ως ο υπολογιστής-πελάτης από τη διαπραγμάτευση SSL του διακομιστή web.

Πύλη διαχείρισης απειλή δημιουργεί εσφαλμένα την κεφαλίδα SNI, χρησιμοποιώντας το όνομα από τον ανιόντα διακομιστή και δεν το προορισμού όνομα διακομιστή web, εάν ισχύουν οι ακόλουθες συνθήκες:

• Πύλη διαχείρισης απειλή είναι ένας διακομιστής μεσολάβησης κατάντη.

• Πύλη διαχείρισης απειλή αλυσίδες εξερχόμενες αιτήσεις με ανιόντα διακομιστή πύλης διαχείρισης απειλή.

• Το σύνολο παραμέτρων προμηθευτή το HTTPSiDontUseOldClientProtocols είναι ενεργοποιημένη ανά KB 2545464.

Αυτό μπορεί να προκαλέσει σφάλματα σύνδεσης ή σφάλματα του διακομιστή web, ανάλογα με το πώς ο διακομιστής web αντιδρά στην εσφαλμένη κεφαλίδα SNI.