HTTPS incelemesi etkinse erişim SNI SSL Web siteleri aracılığıyla tehdit Yönetimi ağ geçidi 2010 için başarısız oluyor

Belirtiler

Aşağıdaki senaryoyu düşünün:

• Microsoft Forefront tehdit Yönetimi ağ geçidi 2010 ile Güvenli Yuva Katmanı (SSL) Web sitesine erişmeye çalışın.

• Web sunucusu adı gösterimi (SNI) sunmak için hangi sertifikanın belirlemek için kullanır.

• Tehdit Yönetimi ağ geçidi HTTPS incelemesi etkinleştirilir.

• Tehdit Yönetimi ağ geçidi sunucusu web zincirleme bir akış yukarı proxy sunucusuna giden web istekleri göndermek için kullanır.

• HTTPSiDontUseOldClientProtocols satıcı parametre kümesi ( KB 2545464) etkinleştirilir.

Bu senaryoda, Web sitesine erişemezsiniz.

Neden

Tehdit Yönetimi ağ geçidi bağlantı hataları veya web sunucu hataları neden olan yanlış bir SNI başlığı oluşturur çünkü bu sorun oluşur.

Çözüm

Bu sorunu gidermek için tüm tehdit Yönetimi ağ geçidi dizi üyelerinde bu düzeltmeyi uygulayın. Bu düzeltme varsayılan olarak etkin değildir. Bu düzeltmeyi yükledikten sonra bu düzeltmeyi etkinleştirmek için aşağıdaki adımları izlemelisiniz:

1. Aşağıdaki komut dosyasını Not Defteri gibi bir metin düzenleyicisine kopyalayın ve sonra da UseOriginalHostNameInSslContex.vbs kaydedin:
   
   

   '' Copyright (c) Microsoft Corporation. All rights reserved.
   ' THIS CODE IS MADE AVAILABLE AS IS, WITHOUT WARRANTY OF ANY KIND. THE ENTIRE
   ' RISK OF THE USE OR THE RESULTS FROM THE USE OF THIS CODE REMAINS WITH THE
   ' USER. USE AND REDISTRIBUTION OF THIS CODE, WITH OR WITHOUT MODIFICATION, IS
   ' HEREBY PERMITTED.
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ' This script forces TMG to use original host name for SSL context when connecting to target server via upstream proxy
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "UseOriginalHostNameInSslContex"
   Const SE_VPS_VALUE = TRUE
   Sub SetValue()
       ' Create the root object.
       Dim root
       ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
       'Declare the other objects that are needed.
       Dim array       ' An FPCArray object
       Dim VendorSets
       ' An FPCVendorParametersSets collection
       Dim VendorSet
       ' An FPCVendorParametersSet object
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
       If Err.Number <> 0 Then
           Err.Clear        ' Add the item.
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
       Else
           WScript.Echo "Existing VendorSet found... value: " &  VendorSet.Value(SE_VPS_NAME)
       End If
       if VendorSet.Value(SE_VPS_NAME)  <>  SE_VPS_VALUE Then
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   End Sub
   Sub CheckError()
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   End Sub
   SetValue
   

2. Tehdit Yönetimi ağ geçidi dizi üyesi için komut dosyasını kopyalayın ve sonra komut dosyasını çalıştırmak için dosyayı çift tıklatın.

Varsayılan davranışa geri dönmek için şu adımları izleyin:

1. Aşağıdaki komut satırını bulun:
   
   

   Const SE_VPS_VALUE = true

2. Bu satırı aşağıdaki gibi değiştirin:
   
   

   Const SE_VPS_VALUE = false

3. Tehdit Yönetimi ağ geçidi dizi üyelerinden biri üzerinde komut dosyasını yeniden çalıştırın.

Daha fazla bilgi

SNI sağlayan bir istemci tam olarak gösterir SSL istemci "Merhaba" iletisinde üstbilgi yetkili etki alanı adı (FQDN) göndermek bir SSL Aktarım Katmanı Güvenliği (TLS) özelliği erişilebilir değil. Bu eylem, SNI üstbilgisi temelinde istemciye göndermek için sertifika belirlemek bir sunucu sağlar.

Tehdit Yönetimi ağ geçidi SSL denetimi etkinleştirildiğinde, tehdit Yönetimi ağ geçidi hedef web sunucusunda SSL anlaşması işleme ve web sunucusu SSL anlaşması istemcisi olarak tanımlanır.

Tehdit Yönetimi ağ geçidi aşağıdaki koşullar doğruysa, akış yukarı sunucunun adını ve hedef web sunucusu adı değil kullanarak SNI başlığı hatalı oluşturur:

• Tehdit Yönetimi ağ geçidi bir aşağı akım proxy sunucusudur.

• Tehdit Yönetimi ağ geçidi Giden istekleri ters yönde bir tehdit Yönetimi Ağ Geçidi sunucusuna bağlanır.

• HTTPSiDontUseOldClientProtocols satıcı parametre kümesi KB 2545464etkinleştirilir.

Bağlantı hataları veya web sunucusu hatalı SNI başlığına nasıl tepki verir bağlı olarak web sunucu hataları neden olabilir.