Access ne parvient pas à des sites Web SNI SSL par le biais de Threat Management Gateway 2010 si l’Inspection HTTPS est activée.

Symptômes

Considérez le scénario suivant :

• Vous essayez d’accéder à un site Web de Secure Sockets Layer (SSL) via Microsoft Forefront Threat Management Gateway 2010.

• Le site Web utilise une Indication de nom de serveur (SNI) de déterminer quel certificat pour servir.

• Inspection de HTTPS Threat Management Gateway est activée.

• Le serveur de passerelle de gestion des menaces utilise pour envoyer des demandes web sortantes pour un serveur proxy en amont de chaînage web.

• Le jeu de paramètres de fournisseur HTTPSiDontUseOldClientProtocols est activé (par 2545464 de la base de connaissances).

Dans ce scénario, vous ne pouvez pas accéder au site Web.

Cause

Ce problème se produit parce que la passerelle de gestion des menaces génère un en-tête SNI incorrect qui provoque des erreurs de connectivité ou des erreurs de serveur web.

Résolution

Pour résoudre ce problème, appliquez ce correctif sur tous les membres du groupe Threat Management Gateway. Ce correctif n’est pas activé par défaut. Après avoir installé ce correctif, vous devez suivre ces étapes pour activer le correctif :

1. Copiez le script suivant dans un éditeur de texte tel que le bloc-notes, puis enregistrez-le en tant que UseOriginalHostNameInSslContex.vbs :
   
   

   '' Copyright (c) Microsoft Corporation. All rights reserved.
   ' THIS CODE IS MADE AVAILABLE AS IS, WITHOUT WARRANTY OF ANY KIND. THE ENTIRE
   ' RISK OF THE USE OR THE RESULTS FROM THE USE OF THIS CODE REMAINS WITH THE
   ' USER. USE AND REDISTRIBUTION OF THIS CODE, WITH OR WITHOUT MODIFICATION, IS
   ' HEREBY PERMITTED.
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ' This script forces TMG to use original host name for SSL context when connecting to target server via upstream proxy
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "UseOriginalHostNameInSslContex"
   Const SE_VPS_VALUE = TRUE
   Sub SetValue()
       ' Create the root object.
       Dim root
       ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
       'Declare the other objects that are needed.
       Dim array       ' An FPCArray object
       Dim VendorSets
       ' An FPCVendorParametersSets collection
       Dim VendorSet
       ' An FPCVendorParametersSet object
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
       If Err.Number <> 0 Then
           Err.Clear        ' Add the item.
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
       Else
           WScript.Echo "Existing VendorSet found... value: " &  VendorSet.Value(SE_VPS_NAME)
       End If
       if VendorSet.Value(SE_VPS_NAME)  <>  SE_VPS_VALUE Then
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   End Sub
   Sub CheckError()
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   End Sub
   SetValue
   

2. Copiez le fichier de script vers un membre de groupe Threat Management Gateway, puis double-cliquez sur le fichier pour exécuter le script.

Pour rétablir le comportement par défaut, procédez comme suit :

1. Recherchez la ligne de script suivante :
   
   

   Const SE_VPS_VALUE = true

2. Remplacez cette ligne par la suivante :
   
   

   Const SE_VPS_VALUE = false

3. Exécutez à nouveau le script sur l’un des membres du groupe de Threat Management Gateway.

Plus d'informations

SNI est une fonctionnalité de sécurité de couche de Transport SSL (TLS) qui permet à un client envoie un en-tête dans le message « Hello » client SSL qui indique quel entièrement qualifié de nom de domaine (FQDN) est accessible. Cette action permet à un serveur afin de déterminer lequel de certificat à envoyer au client en fonction de l’en-tête SNI.

Lorsque l’Inspection SSL Threat Management Gateway est activée, Threat Management Gateway gère la négociation SSL vers le serveur web cible et est identifié en tant que le client par la négociation SSL du serveur web.

Threat Management Gateway génère l’en-tête SNI incorrectement à l’aide du nom du serveur en amont et pas le nom du serveur web cible, si les conditions suivantes sont remplies :

• Threat Management Gateway est un serveur proxy en aval.

• Threat Management Gateway associe plusieurs demandes sortantes sur un serveur en amont de la passerelle de gestion des menaces.

• Le jeu de paramètres de fournisseur HTTPSiDontUseOldClientProtocols est activé par 2545464 de la base de connaissances.

Cela peut entraîner des erreurs de connectivité ou des erreurs de serveur web, en fonction de la manière dont le serveur web réagit à l’en-tête SNI incorrect.