Falla de acceso a sitios Web SSL SNI a través de Threat Management Gateway 2010 si está habilitada la inspección de HTTPS

Síntomas

Imagine el siguiente escenario:

• Intenta tener acceso a un sitio Web de Secure Sockets Layer (SSL) a través de Microsoft Forefront Threat Management Gateway 2010.

• El sitio Web utiliza indicación de nombre de servidor (SNI) para determinar qué certificado desea servir.

• Threat Management Gateway HTTPS inspección está habilitado.

• El servidor de Threat Management Gateway utiliza para enviar peticiones web salientes para un servidor proxy que precede de encadenamiento de web.

• El conjunto de parámetros del proveedor de HTTPSiDontUseOldClientProtocols está habilitado (por 2545464 KB).

En este escenario, no se puede acceder al sitio Web.

Causa

Este problema se produce porque Threat Management Gateway genera un encabezado SNI incorrecto que provoca errores de conectividad o errores del servidor web.

Solución

Para resolver este problema, aplique esta revisión en todos los miembros de la matriz de Threat Management Gateway. Este hotfix no está habilitado de forma predeterminada. Después de instalar este hotfix, debe seguir estos pasos para habilitar la corrección:

1. Copie la siguiente secuencia de comandos en un editor de texto como el Bloc de notas y, a continuación, guárdelo como UseOriginalHostNameInSslContex.vbs:
   
   

   '' Copyright (c) Microsoft Corporation. All rights reserved.
   ' THIS CODE IS MADE AVAILABLE AS IS, WITHOUT WARRANTY OF ANY KIND. THE ENTIRE
   ' RISK OF THE USE OR THE RESULTS FROM THE USE OF THIS CODE REMAINS WITH THE
   ' USER. USE AND REDISTRIBUTION OF THIS CODE, WITH OR WITHOUT MODIFICATION, IS
   ' HEREBY PERMITTED.
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ' This script forces TMG to use original host name for SSL context when connecting to target server via upstream proxy
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "UseOriginalHostNameInSslContex"
   Const SE_VPS_VALUE = TRUE
   Sub SetValue()
       ' Create the root object.
       Dim root
       ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
       'Declare the other objects that are needed.
       Dim array       ' An FPCArray object
       Dim VendorSets
       ' An FPCVendorParametersSets collection
       Dim VendorSet
       ' An FPCVendorParametersSet object
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
       If Err.Number <> 0 Then
           Err.Clear        ' Add the item.
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
       Else
           WScript.Echo "Existing VendorSet found... value: " &  VendorSet.Value(SE_VPS_NAME)
       End If
       if VendorSet.Value(SE_VPS_NAME)  <>  SE_VPS_VALUE Then
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   End Sub
   Sub CheckError()
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   End Sub
   SetValue
   

2. Copie el archivo de secuencia de comandos a un miembro de la matriz de Threat Management Gateway y, a continuación, haga doble clic en el archivo para ejecutar la secuencia de comandos.

Para volver al comportamiento predeterminado, siga estos pasos:

1. Busque la línea siguiente de la secuencia de comandos:
   
   

   Const SE_VPS_VALUE = true

2. Cambie esta línea por la siguiente:
   
   

   Const SE_VPS_VALUE = false

3. Vuelva a ejecutar la secuencia de comandos en uno de los miembros de la matriz de Threat Management Gateway.

Más información

SNI es una característica de seguridad de capa de transporte (TLS) SSL que permite que un cliente envíe un encabezado en el mensaje de "Hello" de cliente SSL que indica qué totalmente calificado el nombre de dominio (completo FQDN) que se está teniendo acceso. Esta acción permite que un servidor determinar que certificado para enviar al cliente basado en el encabezado SNI.

Cuando está habilitada la inspección de SSL de puerta de enlace de administración amenaza, Threat Management Gateway controla la negociación SSL al servidor web de destino y se identifica como el cliente la negociación SSL del servidor web.

Threat Management Gateway se genera el encabezado SNI incorrectamente con el nombre del servidor que precede en la cadena y no el nombre del servidor de web de destino si se cumplen las condiciones siguientes:

• Threat Management Gateway es un servidor proxy indirecto.

• Threat Management Gateway encadenan solicitudes salientes para un servidor que precede en Threat Management Gateway.

• El conjunto de parámetros del proveedor de HTTPSiDontUseOldClientProtocols está habilitado por 2545464 KB.

Esto puede provocar errores de conectividad o errores del servidor web, dependiendo de cómo reacciona el servidor web al encabezado SNI incorrecto.