Gagal akses ke website SNI SSL melalui Threat Management Gateway 2010 jika inspeksi HTTPS diaktifkan

Gejala

Pertimbangkan skenario berikut ini:

• Anda mencoba mengakses sebuah website Secure Sockets Layer (SSL) melalui Microsoft Forefront Threat Management Gateway 2010.

• Situs web menggunakan Server nama indikasi (SNI) untuk menentukan mana sertifikat untuk melayani.

• Inspeksi HTTPS Threat Management Gateway diaktifkan.

• Server gerbang manajemen ancaman menggunakan web rantai untuk mengirim permintaan web keluar ke server proksi hulu.

• HTTPSiDontUseOldClientProtocols vendor parameter set diaktifkan (per KB 2545464).

Dalam skenario ini, Anda tidak dapat mengakses situs web.

Penyebab

Masalah ini terjadi karena Threat Management Gateway bangun header SNI salah yang menyebabkan galat konektivitas atau galat server web.

Pemecahan masalah

Untuk mengatasi masalah ini, menerapkan hotfix ini pada semua Threat Management Gateway array anggota. Hotfix ini tidak diaktifkan secara default. Setelah Anda menginstal perbaikan terbaru ini, Anda harus mengikuti langkah-langkah berikut untuk mengaktifkan perbaikan:

1. Salin skrip berikut ke editor teks seperti Notepad, dan kemudian simpan sebagai UseOriginalHostNameInSslContex.vbs:
   
   

   '' Copyright (c) Microsoft Corporation. All rights reserved.
   ' THIS CODE IS MADE AVAILABLE AS IS, WITHOUT WARRANTY OF ANY KIND. THE ENTIRE
   ' RISK OF THE USE OR THE RESULTS FROM THE USE OF THIS CODE REMAINS WITH THE
   ' USER. USE AND REDISTRIBUTION OF THIS CODE, WITH OR WITHOUT MODIFICATION, IS
   ' HEREBY PERMITTED.
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ' This script forces TMG to use original host name for SSL context when connecting to target server via upstream proxy
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "UseOriginalHostNameInSslContex"
   Const SE_VPS_VALUE = TRUE
   Sub SetValue()
       ' Create the root object.
       Dim root
       ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
       'Declare the other objects that are needed.
       Dim array       ' An FPCArray object
       Dim VendorSets
       ' An FPCVendorParametersSets collection
       Dim VendorSet
       ' An FPCVendorParametersSet object
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
       If Err.Number <> 0 Then
           Err.Clear        ' Add the item.
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
       Else
           WScript.Echo "Existing VendorSet found... value: " &  VendorSet.Value(SE_VPS_NAME)
       End If
       if VendorSet.Value(SE_VPS_NAME)  <>  SE_VPS_VALUE Then
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   End Sub
   Sub CheckError()
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   End Sub
   SetValue
   

2. Menyalin berkas skrip untuk anggota array Threat Management Gateway, dan kemudian klik dua kali berkas untuk menjalankan skrip.

Untuk kembali ke perilaku default, ikuti langkah-langkah berikut:

1. Cari baris skrip berikut ini:
   
   

   Const SE_VPS_VALUE = true

2. Perubahan ini baris berikut ini:
   
   

   Const SE_VPS_VALUE = false

3. Jalankan ulang skrip di salah satu anggota array Threat Management Gateway.

Informasi lebih lanjut

SNI adalah fitur SSL Transport Layer Security (TLS) yang memungkinkan klien untuk mengirim header di SSL klien "Halo" pesan yang menunjukkan yang sepenuhnya memenuhi syarat domain name (FQDN) diakses. Tindakan ini memungkinkan server untuk menentukan mana sertifikat untuk mengirim ke klien berdasarkan SNI header.

Ketika Threat Management Gateway inspeksi SSL diaktifkan, gerbang manajemen ancaman menangani negosiasi SSL ke target web server dan diidentifikasi sebagai klien oleh server web negosiasi SSL.

Gerbang manajemen ancaman bangun SNI header salah menggunakan nama server hulu dan tidak target web nama server jika kondisi berikut benar:

• Gerbang manajemen ancaman adalah server proksi hilir.

• Gerbang manajemen ancaman rantai keluar permintaan ke server upstream Threat Management Gateway.

• HTTPSiDontUseOldClientProtocols vendor parameter set diaktifkan per KB 2545464.

Ini dapat menyebabkan kesalahan konektivitas atau galat server web, tergantung pada bagaimana web server bereaksi header SNI salah.