Не вдається отримати доступ СНАЙ SSL веб-сайти, по Threat Management Gateway, якщо активовано HTTPS перевірки

Причини

Розглянемо таку ситуацію:

• Користувач намагається отримати доступ до Secure Sockets Layer (SSL) веб-сайту, через шлюз загрози-керування Microsoft Forefront 2010.

• Веб-сайт використовує вказівки ім'я сервера (НДВ), щоб визначити, який сертифікат для обслуговування.

• Загрози керування шлюз HTTPS-перевірка увімкнуто.

• Шлюз керування сервера, використовує веб-ланцюжка надсилати вихідні веб-запити на сервер проксі-сервер.

• Набір параметрів постачальника HTTPSiDontUseOldClientProtocols включено (за KB 2545464).

У цьому випадку немає доступу до веб-сайту.

Причина

Ця проблема виникає, тому що шлюз керування збірки, неправильні СНАЙ заголовка, викликає досяжності або помилки веб-сервера.

Вирішення

Щоб вирішити цю проблему, слід застосувати це виправлення на всіх членів-масив шлюз керування. Це виправлення не ввімкнуто за промовчанням. Після інсталяції цього виправлення, необхідно виконайте наведені нижче дії, щоб активувати виправлення.

1. Скопіюйте наведений нижче сценарій в текстовому редакторі, наприклад блокноту та збережіть його як UseOriginalHostNameInSslContex.vbs:
   
   

   '' Copyright (c) Microsoft Corporation. All rights reserved.
   ' THIS CODE IS MADE AVAILABLE AS IS, WITHOUT WARRANTY OF ANY KIND. THE ENTIRE
   ' RISK OF THE USE OR THE RESULTS FROM THE USE OF THIS CODE REMAINS WITH THE
   ' USER. USE AND REDISTRIBUTION OF THIS CODE, WITH OR WITHOUT MODIFICATION, IS
   ' HEREBY PERMITTED.
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ' This script forces TMG to use original host name for SSL context when connecting to target server via upstream proxy
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "UseOriginalHostNameInSslContex"
   Const SE_VPS_VALUE = TRUE
   Sub SetValue()
       ' Create the root object.
       Dim root
       ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
       'Declare the other objects that are needed.
       Dim array       ' An FPCArray object
       Dim VendorSets
       ' An FPCVendorParametersSets collection
       Dim VendorSet
       ' An FPCVendorParametersSet object
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
       If Err.Number <> 0 Then
           Err.Clear        ' Add the item.
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
       Else
           WScript.Echo "Existing VendorSet found... value: " &  VendorSet.Value(SE_VPS_NAME)
       End If
       if VendorSet.Value(SE_VPS_NAME)  <>  SE_VPS_VALUE Then
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   End Sub
   Sub CheckError()
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   End Sub
   SetValue
   

2. Скопіюйте файл сценарію члена масив шлюз керування та двічі клацніть файл, щоб запустити сценарій.

Щоб відновити змінює поведінку за промовчанням, виконайте такі дії:

1. Знайдіть такий рядок сценарію:
   
   

   Const SE_VPS_VALUE = true

2. Змініть цей рядок нижче:
   
   

   Const SE_VPS_VALUE = false

3. Сценарій на одному з членами масив шлюз керування ще раз.

Додаткові відомості

СНІ, є доступ SSL транспортний рівень безпеки (TLS)-функція, яка клієнт для надсилання до заголовка, у SSL клієнта "Hello" повідомлення, яке вказує на те, що повністю, кваліфікований доменне ім'я (FQDN). Цю дію, дає змогу сервера, щоб визначити, який сертифікат для надсилання клієнту на основі СНАЙ заголовок.

Керування загрози з шлюз перевірка SSL увімкнуто, шлюз керування обробки на цільовий веб-сервер, узгодження SSL і визначається як клієнт SSL погодження веб-сервері.

Шлюз керування збірки неправильно СНАЙ заголовка за допомогою ім'я сервера, що сервер а не цільовий веб ім'я сервера, за таких умов:

• Шлюз керування – це нижнього рівня проксі-сервера.

• Шлюз керування, ланцюги вихідні запити з висхідним шлюз керування загрозами.

• Набір параметрів постачальника HTTPSiDontUseOldClientProtocols активовано за KB 2545464.

Це може викликати, підключення до помилки або помилок веб-сервера залежно від того, як веб-сервері реагує неправильний заголовок СНАЙ.