Accesso non riesce a siti Web SSL SNI attraverso il Threat Management Gateway 2010 se è attivata l'ispezione HTTPS

Sintomi

Si consideri lo scenario seguente:

• Si tenta di accedere a un sito Web di Secure Sockets Layer (SSL) tramite Microsoft Forefront Threat Management Gateway 2010.

• Il sito Web utilizza l'indicazione nome Server (SNI) per determinare quale certificato da utilizzare.

• Controllo HTTPS di Threat Management Gateway è attivato.

• Il server Threat Management Gateway utilizza per inviare richieste web in uscita a un server proxy a monte di concatenamento web.

• Il parametro impostato fornitore HTTPSiDontUseOldClientProtocols è attivato (per 2545464 KB).

In questo scenario, è possibile accedere al sito Web.

Causa

Questo problema si verifica perché il Threat Management Gateway crea un'intestazione SNI non corretta che causa errori di connettività o di server web.

Risoluzione

Per risolvere questo problema, applicare questo hotfix su tutti i membri di matrice Threat Management Gateway. Questo hotfix non è attivato per impostazione predefinita. Dopo avere installato questo hotfix, è necessario eseguire la procedura per attivare la correzione:

1. Copiare lo script seguente in un editor di testo come blocco note e salvarlo come UseOriginalHostNameInSslContex.vbs:
   
   

   '' Copyright (c) Microsoft Corporation. All rights reserved.
   ' THIS CODE IS MADE AVAILABLE AS IS, WITHOUT WARRANTY OF ANY KIND. THE ENTIRE
   ' RISK OF THE USE OR THE RESULTS FROM THE USE OF THIS CODE REMAINS WITH THE
   ' USER. USE AND REDISTRIBUTION OF THIS CODE, WITH OR WITHOUT MODIFICATION, IS
   ' HEREBY PERMITTED.
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ' This script forces TMG to use original host name for SSL context when connecting to target server via upstream proxy
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "UseOriginalHostNameInSslContex"
   Const SE_VPS_VALUE = TRUE
   Sub SetValue()
       ' Create the root object.
       Dim root
       ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
       'Declare the other objects that are needed.
       Dim array       ' An FPCArray object
       Dim VendorSets
       ' An FPCVendorParametersSets collection
       Dim VendorSet
       ' An FPCVendorParametersSet object
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
       If Err.Number <> 0 Then
           Err.Clear        ' Add the item.
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
       Else
           WScript.Echo "Existing VendorSet found... value: " &  VendorSet.Value(SE_VPS_NAME)
       End If
       if VendorSet.Value(SE_VPS_NAME)  <>  SE_VPS_VALUE Then
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   End Sub
   Sub CheckError()
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   End Sub
   SetValue
   

2. Copiare il file di script a un membro di matrice Threat Management Gateway e quindi fare doppio clic sul file per eseguire lo script.

Per ripristinare il comportamento predefinito, attenersi alla seguente procedura:

1. Individuare la riga seguente dello script:
   
   

   Const SE_VPS_VALUE = true

2. Modificare la riga come segue:
   
   

   Const SE_VPS_VALUE = false

3. Eseguire nuovamente lo script su uno dei membri della matrice Threat Management Gateway.

Ulteriori informazioni

SNI non si accede a una funzionalità SSL Transport Layer Security (TLS) che consente a un client di inviare un'intestazione del messaggio "Hello" di client SSL che indica che completamente qualificato il nome di dominio (FQDN). Questa azione consente ai server determinare quale certificato da inviare al client in base all'intestazione SNI.

Quando è attivata il Threat Management Gateway SSL ispezione, Threat Management Gateway gestisce la negoziazione SSL al server web di destinazione e viene identificato come il client dal server web la negoziazione SSL.

Threat Management Gateway intestazione SNI si basa in modo non corretto utilizzando il nome del server padre e non il nome del server web destinazione se sono vere le seguenti condizioni:

• Threat Management Gateway è un server proxy downstream.

• Threat Management Gateway concatenate richieste in uscita a un server di upstream Threat Management Gateway.

• Il parametro impostato fornitore HTTPSiDontUseOldClientProtocols è abilitato per 2545464 KB.

Ciò può causare errori di connettività o errori di server web, seconda la modalità di reazione all'intestazione SNI non corretto del server web.