ล้มเหลวเข้ากับเว็บไซต์ SNI SSL ผ่าน 2010 เกตเวย์จัดการความเสี่ยงหากมีการเปิดใช้งานการตรวจสอบ HTTPS

อาการ

พิจารณาสถานการณ์สมมติต่อไปนี้:

• คุณพยายามเข้าถึงเว็บไซต์ การรักษาความปลอดภัย Secure Sockets Layer (SSL) ผ่านทาง Microsoft Forefront คุกคามจัดการเกตเวย์ 2010

• เว็บไซต์ใช้การบ่งชี้ชื่อเซิร์ฟเวอร์ (SNI) เพื่อกำหนดที่ใบรับรองเพื่อให้บริการ

• เปิดใช้งานการตรวจสอบ HTTPS เกตเวย์การบริหารความเสี่ยง

• เซิร์ฟเวอร์ของเกตเวย์การบริหารความเสี่ยงที่ใช้เว็บกำหนดสายงานเมื่อต้องการส่งการร้องขอเว็บขาออกไปยังเซิร์ฟเวอร์พร็อกซีขั้นต้นน้ำ

• เปิดใช้งานชุดพารามิเตอร์ผู้จัดจำหน่ายHTTPSiDontUseOldClientProtocols (ต่อ2545464 กิโลไบต์)

ในสถานการณ์สมมตินี้ คุณไม่สามารถเข้าถึงเว็บไซต์

สาเหตุ

ปัญหานี้เกิดขึ้นเนื่องจากเกตเวย์การบริหารความเสี่ยงกับหัวข้อ SNI ไม่ถูกต้องซึ่งเป็นสาเหตุของข้อผิดพลาดในการเชื่อมต่อหรือข้อผิดพลาดของเซิร์ฟเวอร์เว็บที่สร้างขึ้น

การแก้ปัญหา

เมื่อต้องการแก้ไขปัญหานี้ ใช้โปรแกรมแก้ไขด่วนนี้บนสมาชิกในอาร์เรย์เกตเวย์จัดการความเสี่ยงทั้งหมดได้ด้วย โปรแกรมแก้ไขด่วนนี้จะไม่เปิดใช้งาน โดยค่าเริ่มต้น หลังจากที่คุณติดตั้งโปรแกรมแก้ไขด่วนนี้ คุณต้องทำตามขั้นตอนเหล่านี้เพื่อเปิดใช้งานการแก้ไข:

1. คัดลอกสคริปต์ต่อไปนี้ไปยังตัวแก้ไขข้อความเช่น Notepad และบันทึกเป็น UseOriginalHostNameInSslContex.vbs:
   
   

   '' Copyright (c) Microsoft Corporation. All rights reserved.
   ' THIS CODE IS MADE AVAILABLE AS IS, WITHOUT WARRANTY OF ANY KIND. THE ENTIRE
   ' RISK OF THE USE OR THE RESULTS FROM THE USE OF THIS CODE REMAINS WITH THE
   ' USER. USE AND REDISTRIBUTION OF THIS CODE, WITH OR WITHOUT MODIFICATION, IS
   ' HEREBY PERMITTED.
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ' This script forces TMG to use original host name for SSL context when connecting to target server via upstream proxy
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "UseOriginalHostNameInSslContex"
   Const SE_VPS_VALUE = TRUE
   Sub SetValue()
       ' Create the root object.
       Dim root
       ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
       'Declare the other objects that are needed.
       Dim array       ' An FPCArray object
       Dim VendorSets
       ' An FPCVendorParametersSets collection
       Dim VendorSet
       ' An FPCVendorParametersSet object
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
       If Err.Number <> 0 Then
           Err.Clear        ' Add the item.
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
       Else
           WScript.Echo "Existing VendorSet found... value: " &  VendorSet.Value(SE_VPS_NAME)
       End If
       if VendorSet.Value(SE_VPS_NAME)  <>  SE_VPS_VALUE Then
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   End Sub
   Sub CheckError()
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   End Sub
   SetValue
   

2. คัดลอกแฟ้มสคริปต์เป็นสมาชิกของอาร์เรย์เกตเวย์จัดการความเสี่ยง และจากนั้น คลิกสองครั้งที่แฟ้มเพื่อเรียกใช้สคริปต์

เมื่อต้องการเปลี่ยนกลับไปเป็นลักษณะการทำงานเริ่มต้น ให้ทำตามขั้นตอนเหล่านี้:

1. ค้นหาบรรทัดต่อไปนี้ของสคริปต์:
   
   

   Const SE_VPS_VALUE = true

2. เปลี่ยนบรรทัดนี้ดังต่อไปนี้:
   
   

   Const SE_VPS_VALUE = false

3. เรียกใช้สคริปต์บนสมาชิกอาร์เรย์เกตเวย์จัดการความเสี่ยงอย่างใดอย่างหนึ่ง

ข้อมูลเพิ่มเติม

SNI จะมีคุณลักษณะความปลอดภัยในเลเยอร์ขนส่ง SSL (TLS) ที่เปิดใช้งานไคลเอนต์จะส่งส่วนหัวของข้อความ "Hello" ไคลเอ็นต์ SSL ที่บ่งชี้ทั้งหมดซึ่งมีคุณสมบัติชื่อโดเมน(แบบเต็ม FQDN) จะถูกเข้าถึง การกระทำนี้ทำให้เซิร์ฟเวอร์เพื่อกำหนดที่ใบรับรองเพื่อส่งไปยังไคลเอ็นต์ที่ขึ้นอยู่กับส่วนหัวของ SNI

เมื่อเปิดใช้งานการตรวจสอบ SSL เกตเวย์การบริหารความเสี่ยง เกตเวย์จัดการความเสี่ยงจัดการการเจรจา SSL กับเว็บเซิร์ฟเวอร์ปลายทาง และมีระบุเป็นไคลเอนต์ โดยเว็บเซิร์ฟเวอร์การเจรจา SSL

เกตเวย์การบริหารความเสี่ยงสร้างส่วนหัวของ SNI ไม่ถูกต้อง โดยใช้ชื่อของเซิร์ฟเวอร์ขั้นต้นน้ำและไม่ใช่เป้าหมายเว็บเซิร์ฟเวอร์ชื่อถ้ามีเงื่อนไขต่อไปนี้:

• เกตเวย์การบริหารความเสี่ยงคือ ปลายน้ำพร็อกซีเซิร์ฟเวอร์

• ห่วงโซ่เกตเวย์จัดการความเสี่ยงขาออกการร้องขอไปยังเซิร์ฟเวอร์ของเกตเวย์การบริหารความเสี่ยงขั้นต้นน้ำ

• เปิดใช้งานชุดพารามิเตอร์ผู้จัดจำหน่ายHTTPSiDontUseOldClientProtocolsต่อKB 2545464

ซึ่งอาจทำให้เกิดข้อผิดพลาดในการเชื่อมต่อหรือเว็บเซิร์ฟเวอร์ข้อผิดพลาด ขึ้นอยู่กับว่าเว็บเซิร์ฟเวอร์ reacts ลงในส่วนหัวของ SNI ไม่ถูกต้อง