Truy cập không SNI SSL trang web thông qua Threat Management Gateway 2010 nếu kiểm tra HTTPS được kích hoạt

Triệu chứng

Xem xét tình huống sau:

• Bạn cố gắng truy cập một trang web Secure Socket Layer (SSL) thông qua Microsoft Forefront Threat Management Gateway 2010.

• Các trang web sử dụng máy chủ tên chỉ (SNI) giấy nhằm xác định.

• Threat Management Gateway HTTPS kiểm tra được kích hoạt.

• Máy chủ Threat Management Gateway sử dụng web loạt gửi đi web yêu cầu đến một máy chủ proxy ngược tuyến.

• Đặt tham số HTTPSiDontUseOldClientProtocols nhà cung cấp được kích hoạt (mỗi KB 2545464).

Trong trường hợp này, bạn không thể truy cập trang web.

Nguyên nhân

Sự cố này xảy ra do Threat Management Gateway xây dựng một tiêu đề SNI không đúng gây ra lỗi kết nối hoặc lỗi máy chủ web.

Giải pháp

Để giải quyết vấn đề này, áp dụng hotfix này trên tất cả các thành viên mảng Threat Management Gateway. Hotfix này không được bật theo mặc định. Sau khi bạn cài đặt hotfix này, bạn phải làm theo các bước sau để kích hoạt bản vá:

1. Sao chép lệnh sau vào một trình soạn thảo văn bản như Notepad, và sau đó lưu dưới dạng UseOriginalHostNameInSslContex.vbs:
   
   

   '' Copyright (c) Microsoft Corporation. All rights reserved.
   ' THIS CODE IS MADE AVAILABLE AS IS, WITHOUT WARRANTY OF ANY KIND. THE ENTIRE
   ' RISK OF THE USE OR THE RESULTS FROM THE USE OF THIS CODE REMAINS WITH THE
   ' USER. USE AND REDISTRIBUTION OF THIS CODE, WITH OR WITHOUT MODIFICATION, IS
   ' HEREBY PERMITTED.
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   ' This script forces TMG to use original host name for SSL context when connecting to target server via upstream proxy
   ''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "UseOriginalHostNameInSslContex"
   Const SE_VPS_VALUE = TRUE
   Sub SetValue()
       ' Create the root object.
       Dim root
       ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
       'Declare the other objects that are needed.
       Dim array       ' An FPCArray object
       Dim VendorSets
       ' An FPCVendorParametersSets collection
       Dim VendorSet
       ' An FPCVendorParametersSet object
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
       If Err.Number <> 0 Then
           Err.Clear        ' Add the item.
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
       Else
           WScript.Echo "Existing VendorSet found... value: " &  VendorSet.Value(SE_VPS_NAME)
       End If
       if VendorSet.Value(SE_VPS_NAME)  <>  SE_VPS_VALUE Then
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   End Sub
   Sub CheckError()
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   End Sub
   SetValue
   

2. Sao chép tập lệnh thành viên mảng Threat Management Gateway, và sau đó bấm đúp vào tệp để chạy tập lệnh.

Để quay trở lại chế độ mặc định, hãy làm theo các bước sau:

1. Định vị dòng sau đoạn:
   
   

   Const SE_VPS_VALUE = true

2. Thay đổi này như sau:
   
   

   Const SE_VPS_VALUE = false

3. Chạy tập lệnh trên một trong các thành viên mảng Threat Management Gateway.

Thông tin

SNI là một tính năng SSL Transport Layer Security (TLS) cho phép máy khách gửi một tiêu đề SSL khách "Hello" thông báo cho biết có đầy đủ điều kiện tên miền (FQDN) đang được truy cập. Hành động này cho phép máy chủ để xác định giấy gửi cho khách hàng dựa trên tiêu đề SNI.

Khi kiểm tra SSL Threat Management Gateway được bật, Threat Management Gateway xử lý thương lượng SSL máy chủ web mục tiêu và được xác định là khách hàng của máy chủ web thương lượng SSL.

Threat Management Gateway xây dựng tiêu đề SNI không chính xác bằng cách sử dụng tên máy chủ ngược tuyến và không phải là mục tiêu web server tên nếu các điều kiện sau là đúng:

• Threat Management Gateway là một máy chủ proxy xuôi tuyến.

• Threat Management Gateway xích gửi yêu cầu đến máy chủ Threat Management Gateway ngược tuyến.

• Đặt tham số HTTPSiDontUseOldClientProtocols nhà cung cấp được kích hoạt một KB 2545464.

Điều này có thể gây ra lỗi kết nối hoặc lỗi máy chủ web, tùy thuộc vào cách máy chủ web phản ứng tiêu đề SNI không chính xác.