Toegang mislukt tot websites via Threat Management Gateway 2010 SNI SSL als HTTPS-controle is ingeschakeld

Symptomen

Overweeg het volgende scenario:

• U probeert toegang te krijgen tot een website met Secure Sockets Layer (SSL) via Microsoft Forefront Threat Management Gateway 2010.

• Server naam aanduiding (SNI) de website gebruikt om te bepalen welk certificaat moet dienen.

• Threat Management Gateway HTTPS-controle is ingeschakeld.

• De Threat Management Gateway-server gebruikt web chaining uitgaande webverzoeken worden verzonden naar een upstream-proxyserver.

• De parameter HTTPSiDontUseOldClientProtocols leverancier is ingesteld is (per KB 2545464) ingeschakeld.

In dit scenario geen u toegang tot de website.

Oorzaak

Dit probleem treedt op omdat de Threat Management Gateway een onjuiste SNI-header die ervoor zorgt dat de verbinding fouten of web serverfouten maakt.

Oplossing

U lost dit probleem op door deze hotfix op alle Threat Management Gateway matrixleden. Deze hotfix is niet standaard ingeschakeld. Nadat u deze hotfix hebt geïnstalleerd, moet u deze stappen om de correctie te activeren:

1. Kopieer het volgende script naar een teksteditor zoals Kladblok en sla deze op als UseOriginalHostNameInSslContex.vbs:
   
   

   '' Copyright (c) Microsoft Corporation. All rights reserved.
   ' THIS CODE IS MADE AVAILABLE AS IS, WITHOUT WARRANTY OF ANY KIND. THE ENTIRE
   ' RISK OF THE USE OR THE RESULTS FROM THE USE OF THIS CODE REMAINS WITH THE
   ' USER. USE AND REDISTRIBUTION OF THIS CODE, WITH OR WITHOUT MODIFICATION, IS
   ' HEREBY PERMITTED.
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ' This script forces TMG to use original host name for SSL context when connecting to target server via upstream proxy
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "UseOriginalHostNameInSslContex"
   Const SE_VPS_VALUE = TRUE
   Sub SetValue()
       ' Create the root object.
       Dim root
       ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
       'Declare the other objects that are needed.
       Dim array       ' An FPCArray object
       Dim VendorSets
       ' An FPCVendorParametersSets collection
       Dim VendorSet
       ' An FPCVendorParametersSet object
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
       If Err.Number <> 0 Then
           Err.Clear        ' Add the item.
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
       Else
           WScript.Echo "Existing VendorSet found... value: " &  VendorSet.Value(SE_VPS_NAME)
       End If
       if VendorSet.Value(SE_VPS_NAME)  <>  SE_VPS_VALUE Then
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   End Sub
   Sub CheckError()
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   End Sub
   SetValue
   

2. Kopieer het scriptbestand naar een matrixlid Threat Management Gateway en dubbelklik vervolgens op het bestand dat het script uitgevoerd.

Als u wilt terugkeren naar de standaardinstelling, volg deze stappen:

1. Zoek de volgende regel van het script:
   
   

   Const SE_VPS_VALUE = true

2. Wijzig deze regel in:
   
   

   Const SE_VPS_VALUE = false

3. Het script op een van de leden van de matrix Threat Management Gateway opnieuw uitvoeren.

Meer informatie

SNI is een functie waarmee een client voor het verzenden van een koptekst in het SSL-client 'Hello' bericht geeft aan welke volledig gekwalificeerde domeinnaam (FQDN) van SSL Transport Layer Security (TLS) wordt geopend. Deze actie kunt een server om te bepalen dat certificaat te verzenden naar de client op basis van de SNI-header.

Inspectie van Threat Management Gateway SSL is ingeschakeld, Threat Management Gateway handelt de webserver de SSL-onderhandeling als de client wordt geïdentificeerd door de webserver SSL-onderhandeling.

Threat Management Gateway bouwt de SNI-header niet goed met de naam van de upstream-server en geen doelnaam van de webserver als de volgende voorwaarden voldaan wordt:

• Threat Management Gateway is een downstream-proxyserver.

• Threat Management Gateway uitgaande aanvragen naar een upstream Threat Management Gateway-server is gekoppeld.

• De parameter HTTPSiDontUseOldClientProtocols leverancier is ingesteld is per KB 2545464ingeschakeld.

Hierdoor verbinding fouten of fouten, afhankelijk van hoe de webserver op de onjuiste SNI-koptekst reageert.