Åtkomst misslyckas till SNI SSL-webbplatser via Threat Management Gateway 2010 om HTTPS-kontroll är aktiverat

Symptom

Föreställ dig följande:

• Du försöker komma åt en webbplats med SSL (Secure Sockets Layer) (SSL) via Microsoft Forefront Threat Management Gateway 2010.

• Webbplatsen använder Server namn beteckning (SNI) för att avgöra vilka certifikat som ska fungera.

• Threat Management Gateway HTTPS-kontroll är aktiverat.

• Threat Management Gateway-server använder web chaining för att skicka utgående begäranden till en uppströms proxyserver.

• HTTPSiDontUseOldClientProtocols -leverantör Parameteruppsättningen är aktiverad (per KB 2545464).

I det här fallet kan du inte använda webbplatsen.

Orsak

Det här problemet uppstår eftersom Threat Management Gateway bygger ett felaktigt SNI-huvud som orsakar connectivity-fel eller fel i webbservern.

Lösning

Lös problemet genom att installera den här snabbkorrigeringen på alla Threat Management Gateway matrismedlemmar. Den här snabbkorrigeringen är inte aktiverat som standard. När du har installerat den här snabbkorrigeringen måste du följa dessa instruktioner för att aktivera snabbkorrigeringen:

1. Kopiera följande skript till en textredigerare som anteckningar och sedan spara den som UseOriginalHostNameInSslContex.vbs:
   
   

   '' Copyright (c) Microsoft Corporation. All rights reserved.
   ' THIS CODE IS MADE AVAILABLE AS IS, WITHOUT WARRANTY OF ANY KIND. THE ENTIRE
   ' RISK OF THE USE OR THE RESULTS FROM THE USE OF THIS CODE REMAINS WITH THE
   ' USER. USE AND REDISTRIBUTION OF THIS CODE, WITH OR WITHOUT MODIFICATION, IS
   ' HEREBY PERMITTED.
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ' This script forces TMG to use original host name for SSL context when connecting to target server via upstream proxy
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "UseOriginalHostNameInSslContex"
   Const SE_VPS_VALUE = TRUE
   Sub SetValue()
       ' Create the root object.
       Dim root
       ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
       'Declare the other objects that are needed.
       Dim array       ' An FPCArray object
       Dim VendorSets
       ' An FPCVendorParametersSets collection
       Dim VendorSet
       ' An FPCVendorParametersSet object
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
       If Err.Number <> 0 Then
           Err.Clear        ' Add the item.
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
       Else
           WScript.Echo "Existing VendorSet found... value: " &  VendorSet.Value(SE_VPS_NAME)
       End If
       if VendorSet.Value(SE_VPS_NAME)  <>  SE_VPS_VALUE Then
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   End Sub
   Sub CheckError()
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   End Sub
   SetValue
   

2. Kopiera skriptfilen till en matrismedlem Threat Management Gateway och dubbelklicka sedan på filen för att köra skriptet.

Gör så här om du vill återgå till standardinställningen:

1. Leta upp följande rad i skriptet:
   
   

   Const SE_VPS_VALUE = true

2. Ändra den här raden till följande:
   
   

   Const SE_VPS_VALUE = false

3. Kör skriptet på en matrismedlemmar Threat Management Gateway.

Mer Information

SNI är en funktion som gör att en klient ska skicka en rubrik i SSL-klient "Hej" meddelandet som anger vilken fullständigt kvalificerade domännamn (FQDN) för SSL Transport Layer Security (TLS) används. Denna åtgärd kan en server att avgöra vilka certifikat skickas till klienten utifrån SNI-huvudet.

När Threat Management Gateway SSL-kontroll är aktiverat Threat Management Gateway hanterar SSL-förhandling till webbservern mål och identifieras som klienten av webbservern SSL-förhandling.

Threat Management Gateway skapar SNI-huvudet felaktigt med hjälp av namnet på den överordnade servern och inte målet webbservernamn om följande villkor är uppfyllda:

• Threat Management Gateway är en nedströms proxyserver.

• Threat Management Gateway kedjar utgående begäranden till en överordnad Threat Management Gateway-server.

• HTTPSiDontUseOldClientProtocols -leverantör parameteruppsättningen aktiveras per KB 2545464.

Detta kan orsaka connectivity-fel eller fel i webbservern, beroende på hur webbservern reagerar felaktigt SNI-huvudet.