Access kan ikke SNI SSL-webområder gjennom Threat Management Gateway 2010 Hvis HTTPS-undersøkelsen er aktivert

Symptomer

Tenk deg følgende:

• Du prøver å få tilgang til et Secure Sockets Layer (SSL)-webområde gjennom Microsoft Forefront Threat Management Gateway 2010.

• Webområdet bruker Server navnet indikasjon (SNI) til å bestemme hvilke sertifikatet skal fungere.

• Threat Management Gateway HTTPS inspeksjon er aktivert.

• Threat Management Gateway-server bruker web chaining for å sende utgående webforespørsler til en overordnet proxy-server.

• Settet med parameteren HTTPSiDontUseOldClientProtocols leverandøren er aktivert (per KB 2545464).

I dette scenariet kan du få tilgang til webområdet.

Årsak

Dette problemet oppstår fordi Threat Management Gateway bygger et feil SNI-hode som gjør at tilkobling feil eller feil i web-serveren.

Oppløsning

Hvis du vil løse dette problemet ved å bruke denne hurtigreparasjonen på alle Threat Management Gateway matrise medlemmer. Denne hurtigreparasjonen er ikke aktivert som standard. Når du har installert denne hurtigreparasjonen, må du følge disse trinnene for å aktivere hurtigreparasjonen:

1. Kopier følgende skript til et tekstredigeringsprogram som Notisblokk, og deretter lagre den som UseOriginalHostNameInSslContex.vbs:
   
   

   '' Copyright (c) Microsoft Corporation. All rights reserved.
   ' THIS CODE IS MADE AVAILABLE AS IS, WITHOUT WARRANTY OF ANY KIND. THE ENTIRE
   ' RISK OF THE USE OR THE RESULTS FROM THE USE OF THIS CODE REMAINS WITH THE
   ' USER. USE AND REDISTRIBUTION OF THIS CODE, WITH OR WITHOUT MODIFICATION, IS
   ' HEREBY PERMITTED.
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ' This script forces TMG to use original host name for SSL context when connecting to target server via upstream proxy
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "UseOriginalHostNameInSslContex"
   Const SE_VPS_VALUE = TRUE
   Sub SetValue()
       ' Create the root object.
       Dim root
       ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
       'Declare the other objects that are needed.
       Dim array       ' An FPCArray object
       Dim VendorSets
       ' An FPCVendorParametersSets collection
       Dim VendorSet
       ' An FPCVendorParametersSet object
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
       If Err.Number <> 0 Then
           Err.Clear        ' Add the item.
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
       Else
           WScript.Echo "Existing VendorSet found... value: " &  VendorSet.Value(SE_VPS_NAME)
       End If
       if VendorSet.Value(SE_VPS_NAME)  <>  SE_VPS_VALUE Then
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   End Sub
   Sub CheckError()
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   End Sub
   SetValue
   

2. Kopier filen til medlem Threat Management Gateway matrise, og dobbeltklikk deretter filen for å kjøre skriptet.

Hvis du vil gå tilbake til standard virkemåte, følger du denne fremgangsmåten:

1. Finn følgende skriptlinje:
   
   

   Const SE_VPS_VALUE = true

2. Endre denne linjen til følgende:
   
   

   Const SE_VPS_VALUE = false

3. Kjør skriptet på ett av medlemmene Threat Management Gateway matrise.

Hvis du vil ha mer informasjon

SNI er en SSL Transport Layer Security (TLS)-funksjon som gjør at en klient sender en overskrift i SSL-klient "Hallo" meldingen som angir hvilket fullstendig kvalifisert domenenavn (FQDN) åpnes. Denne handlingen gjør det mulig for en server for å fastslå-sertifikat som skal sendes til klienten basert på SNI hodet.

Når Threat Management Gateway SSL inspeksjon er aktivert, Threat Management Gateway håndterer SSL-forhandling på mål-web-server, og er identifisert som klienten med web-serveren SSL-forhandling.

Threat Management Gateway bygger SNI hodet på feil måte ved å bruke navnet på en overordnet server, og ikke navnet på målet web server hvis følgende betingelser er oppfylt:

• Threat Management Gateway er en downstream proxy-server.

• Threat Management Gateway kjeder utgående forespørsler til en overordnet Threat Management Gateway-server.

• Settet med parameteren HTTPSiDontUseOldClientProtocols leverandøren aktiveres per KB 2545464.

Dette kan føre til feil tilkobling eller web-serverfeil, avhengig av hvordan web-serveren reagerer på feil SNI hodet.