IIS7 Применение маршрутизации запросов HTTPS

Question

У меня есть обратный прокси-сервер, который направляет трафик на мой сервер приложений ..

Я войти в функцию на моем общедоступном сайте, который подается через HTTPS. Сертификаты SSL устанавливаются только на обратном прокси-сервере. Мой сервер приложений не имеет сертификата SSL. Развертка SSL включена на обратном прокси-сервере.

Это прекрасно работает до сих пор, я могу получить доступ к странице входа и области участника через HTTPS. Но я заметил, что мой сеанс cookie не безопасен ...

Я использую .NET Memberhip Provider для аутентификации, и это сгенерирует ASPXAUTH сеансовый файл cookie, как вы все знаете. Я попытался включить HTTPOnly и безопасный флаг для этого печенья по:

1. добавив RequireSSL = TRUE для переменной проверки подлинности форм в web.config
2. добавления переменной HttpCookie с HttpOnly и RequireSSL = истинным.

Первая установка всегда давала мне ошибку 502, когда я пытался войти в систему. 502 - Веб-сервер получил недействительный ответ, выступая в качестве шлюза или прокси-сервера.

Второй параметр дал мне флаг httponly, но не безопасный флаг (я отключил первую настройку при тестировании этого).

Как решить this..some вопросы:

1. Нужно ли мне установить SSL на всех серверах, в том числе и моего сервера приложений?
2. Есть ли обходной путь для этого?

Просьба сообщить.

P.S.

Я использую IIS 7.5 (Reverse Proxy)

Запрос

Применение Routing (Reverse Proxy)

UrlRewrite Модуль IIS (Reverse Proxy)

IIS 8 (сервер приложений)

Answer 1

Некоторые приложения запрограммированы для определения того, используете ли вы HTTPS или нет, и поскольку фактический веб-сервер обрабатывает HTTP-запрос с включенной выгрузкой, он будет считать, что запрос не защищен и часто заканчивается в цикле перенаправления.

Вы можете исправить это, установив на каждом сервере контента один сертификат подстановки и отключите ssl-разгрузку.

[ARR01 - SSL-сертификат] - [ARR02 - сертификат SSL] < - посетители будут видеть этот сертификат SSL в браузере
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | - - |
[Content01 - подстановочный сертификат ssl] - [Content02 - подстановочный сертификат ssl] < - Этот сертификат остается скрытым и, следовательно, может быть общим сертификатом группового символа.