Приложению Access не удается SNI SSL веб-узлов до угроз Management Gateway 2010 при включении проверки HTTPS

Симптомы

Рассмотрим следующий сценарий:

• При попытке доступа к веб-сайту Secure Sockets Layer (SSL) через Microsoft Forefront угроз Management Gateway 2010.

• Веб-сайт использует Указание имени сервера (SNI) для определения, какой сертификат должен использоваться.

• Проверки HTTPS шлюз управления угроз включена.

• Threat Management Gateway server использует web chaining для отправки исходящих веб-запросов на вышестоящие прокси-сервера.

• Набор параметров поставщика HTTPSiDontUseOldClientProtocols включен (на 2545464 КБ).

В этом случае нет доступа к веб-сайту.

Причина

Эта проблема возникает из-за построения Threat Management Gateway неверный заголовок сетевого Адаптера, который возникают ошибки подключения или ошибок веб-сервера.

Решение

Чтобы устранить эту проблему, установите это исправление на всех членах массива Threat Management Gateway. Это исправление не включено по умолчанию. После установки данного исправления, необходимо выполнить следующие действия, чтобы активировать его:

1. Скопируйте приведенный ниже сценарий в текстовый редактор, например «Блокнот» и сохраните его как UseOriginalHostNameInSslContex.vbs:
   
   

   '' Copyright (c) Microsoft Corporation. All rights reserved.
   ' THIS CODE IS MADE AVAILABLE AS IS, WITHOUT WARRANTY OF ANY KIND. THE ENTIRE
   ' RISK OF THE USE OR THE RESULTS FROM THE USE OF THIS CODE REMAINS WITH THE
   ' USER. USE AND REDISTRIBUTION OF THIS CODE, WITH OR WITHOUT MODIFICATION, IS
   ' HEREBY PERMITTED.
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ' This script forces TMG to use original host name for SSL context when connecting to target server via upstream proxy
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "UseOriginalHostNameInSslContex"
   Const SE_VPS_VALUE = TRUE
   Sub SetValue()
       ' Create the root object.
       Dim root
       ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
       'Declare the other objects that are needed.
       Dim array       ' An FPCArray object
       Dim VendorSets
       ' An FPCVendorParametersSets collection
       Dim VendorSet
       ' An FPCVendorParametersSet object
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
       If Err.Number <> 0 Then
           Err.Clear        ' Add the item.
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
       Else
           WScript.Echo "Existing VendorSet found... value: " &  VendorSet.Value(SE_VPS_NAME)
       End If
       if VendorSet.Value(SE_VPS_NAME)  <>  SE_VPS_VALUE Then
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   End Sub
   Sub CheckError()
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   End Sub
   SetValue
   

2. Скопировать файл сценария для члена массива Threat Management Gateway, а затем дважды щелкните файл, чтобы запустить сценарий.

Чтобы вернуться к поведению по умолчанию, выполните следующие действия.

1. Найдите следующую строку сценария:
   
   

   Const SE_VPS_VALUE = true

2. Измените эту строку следующим образом:
   
   

   Const SE_VPS_VALUE = false

3. Повторно запустите сценарий на одном из членов массива Threat Management Gateway.

Дополнительные сведения

Сетевого Адаптера — это функция безопасности уровня транспорта SSL (TLS), которая позволяет клиенту отправлять заголовок в сообщение «Hello» клиента SSL, которое указывает полное доменное имя (FQDN) осуществляется. Это действие позволяет серверу определить, что сертификат для отправки клиенту на основе заголовка сетевого Адаптера.

При включении проверки угроз управления шлюз SSL Threat Management Gateway согласования SSL на целевой веб-сервер обрабатывает и идентифицируется как клиент согласования SSL веб-сервера.

Threat Management Gateway неправильно формирует заголовок сетевого Адаптера с помощью имени вышестоящим сервером и не имя целевого веб-сервера, если выполняются следующие условия:

• Threat Management Gateway является нижестоящим прокси-сервер.

• Threat Management Gateway добавляет исходящие запросы на вышестоящий сервер Threat Management Gateway.

• Набор параметров поставщика HTTPSiDontUseOldClientProtocols включается для каждого 2545464 КБ.

Это может вызвать ошибки подключения или ошибок веб сервера, в зависимости от реакции на неверный заголовок сетевого Адаптера с веб-сервером.