Piekļuves neizdodas SNI SSL vietnes ar Threat Management Gateway 2010 aktivizējot HTTPS pārbaudes

Pazīmes

Apsveriet šādu situāciju:

• Jūs mēģināt piekļūt drošligzdu slāņa (SSL) vietnei, izmantojot Microsoft Forefront Threat Management Gateway 2010.

• Mājas servera nosaukumu norādes (SNI) izmanto, lai noteiktu, kāda sertifikāta apkalpot.

• Draudu pārvaldības vārtejas HTTPS pārbaudes ir iespējots.

• Threat Management Gateway serveris izmanto web Saķēdēšana izejošo web pieprasījumus nosūtīt augšupstraumes starpniekserveri.

• HTTPSiDontUseOldClientProtocols piegādātāju parametru komplektam ir iespējota (pēc KB 2545464).

Šādā gadījumā nevar piekļūt vietnei.

Iemesls

Šī problēma rodas, jo Threat Management Gateway veido nepareizu SNI galvenes savienojamības kļūdas vai tīmekļa servera kļūdas dēļ.

Risinājums

Lai novērstu šo problēmu, šī labojumfaila visas Threat Management Gateway masīva dalībniekiem. Šis labojumfails nav iespējota pēc noklusējuma. Pēc šī labojumfaila instalēšanas jāizpilda šīs darbības, lai iespējotu labojumu:

1. Kopējiet šo skriptu teksta redaktoru, piemēram, Piezīmjbloku, un pēc tam saglabājiet to kā UseOriginalHostNameInSslContex.vbs:
   
   

   '' Copyright (c) Microsoft Corporation. All rights reserved.
   ' THIS CODE IS MADE AVAILABLE AS IS, WITHOUT WARRANTY OF ANY KIND. THE ENTIRE
   ' RISK OF THE USE OR THE RESULTS FROM THE USE OF THIS CODE REMAINS WITH THE
   ' USER. USE AND REDISTRIBUTION OF THIS CODE, WITH OR WITHOUT MODIFICATION, IS
   ' HEREBY PERMITTED.
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ' This script forces TMG to use original host name for SSL context when connecting to target server via upstream proxy
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "UseOriginalHostNameInSslContex"
   Const SE_VPS_VALUE = TRUE
   Sub SetValue()
       ' Create the root object.
       Dim root
       ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
       'Declare the other objects that are needed.
       Dim array       ' An FPCArray object
       Dim VendorSets
       ' An FPCVendorParametersSets collection
       Dim VendorSet
       ' An FPCVendorParametersSet object
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
       If Err.Number <> 0 Then
           Err.Clear        ' Add the item.
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
       Else
           WScript.Echo "Existing VendorSet found... value: " &  VendorSet.Value(SE_VPS_NAME)
       End If
       if VendorSet.Value(SE_VPS_NAME)  <>  SE_VPS_VALUE Then
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   End Sub
   Sub CheckError()
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   End Sub
   SetValue
   

2. Skripta failu kopēšana Threat Management Gateway masīva elementu un pēc tam veiciet dubultklikšķi uz faila, lai palaistu skriptu.

Lai atjaunotu noklusējuma darbību, rīkojieties šādi:

1. Atrodiet šādu rindu skriptu:
   
   

   Const SE_VPS_VALUE = true

2. Mainīt šo rindu šim:
   
   

   Const SE_VPS_VALUE = false

3. Atkārtoti palaidiet skriptu kādā no Threat Management Gateway masīva dalībnieki.

Papildinformācija

SNI ir SSL drošību (Transport Layer Security — TLS) līdzeklis, kas ļauj nosūtīt galvene SSL klienta "Sveiciens" ziņojums, kurā norādīts, kas pilnībā kvalificēti domēna nosaukumu (FQDN) klients tiek lietota. Šī darbība ļauj noteikt, kura sertifikātu nosūta klientam, pamatojoties uz SNI galvenes servera.

Threat Management Gateway SSL pārbaude ir iespējota, kad Threat Management Gateway apstrādā mērķa web servera SSL sarunas un tiek uzskatīts klienta SSL saskaņošana ar tīmekļa serveri.

Threat Management Gateway veido SNI galvenes nepareizi, izmantojot iepriekšējās servera nosaukumu un nav mērķa web servera nosaukums, ja ir spēkā kāds no šiem nosacījumiem:

• Threat Management Gateway ir pakārtots starpniekserveri.

• Threat Management Gateway ķēdes izejošo pieprasījumu augšupstraumes Threat Management Gateway serverim.

• Katrā KB 2545464 HTTPSiDontUseOldClientProtocols piegādātāju parametru komplektam ir iespējots.

Tas var izraisīt savienojamības kļūdas vai tīmekļa servera kļūdas, atkarībā no tā, kā tīmekļa servera reaģē uz nepareizu SNI galvene.