> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/de/andere/troubleshooting/cisco-ise-host-header-limitation.md).
# Cisco-ISE-Host-Header-Einschränkung
Sowohl Cisco ISE als auch Aruba ClearPass (nur bis einschließlich **ClearPass 6.9.5**) unterstützen HTTP 1.1 beim Abrufen von OCSP nicht und senden in ihrer OCSP-Anfrage keinen Host-Header. Das liegt wahrscheinlich daran, dass OpenSSL bis Version 1.0.2, das offenbar im Backend verwendet wird, [einen zusätzlichen Parameter erforderte, um den Host-Header für OCSP-Anfragen zu senden](https://github.com/openssl/openssl/issues/1986), während OpenSSL 1.1.0, veröffentlicht im August 2016, dies automatisch tut. Daher können sie keine Verbindung zu einer allgemeinen SCEPman-Instanz herstellen, die auf Azure App Services ausgeführt wird. Die Fehlermeldung kann folgendermaßen aussehen:
%20\(4\)%20\(4\)%20\(4\)%20\(4\)%20\(4\)%20\(2\)%20\(1\).jpg?alt=media)
Cisco untersucht derzeit zukünftige Verbesserungen, aber vorerst können Sie ein [Azure Application Gateway](https://azure.microsoft.com/en-us/services/application-gateway/) verwenden, um eine SCEPman-Instanz bereitzustellen, die keinen Host-Header benötigt.
Die folgenden Anweisungen beschreiben die Schritte zum Erstellen eines Azure Application Gateway für SCEPman:
## 1) Erstellen Sie ein neues Application Gateway
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\).png?alt=media)
## 2) Geben Sie die erforderlichen grundlegenden Informationen an
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(2\).png?alt=media)
## 3) Erstellen Sie eine neue statische öffentliche IP-Adresse
%20\(4\)%20\(5\)%20\(5\)%20\(5\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(3\)%20\(8\).png?alt=media)
## 4) Erstellen Sie einen neuen Backend-Pool und verweisen Sie ihn auf Ihren SCEPman App Service
%20\(4\)%20\(5\)%20\(2\).png?alt=media)
{% hint style="info" %}
Im geo-redundanten Szenario müssen Sie beide SCEPman-App-Services dem Backend-Pool hinzufügen.
{% endhint %}
## 5) Fügen Sie eine Routingregel für HTTP hinzu
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\).png?alt=media)
## 5b) Fügen Sie eine neue HTTP-Einstellung mit Host-Header hinzu (Ihr öffentlicher FQDN von SCEPman)
{% hint style="warning" %}
Anfang Juni führte Microsoft einen Fehler im Azure Application Gateway ein, der verhindert, einem Host-Header-freien Request einen Host-Header hinzuzufügen, wenn "Pick host name from backend target" ausgewählt ist. In einer früheren Version dieser Dokumentation haben wir "Pick host name from backend target" empfohlen, aber das funktioniert nicht mehr. Als Workaround wählen Sie wie unten dargestellt "Override with specific domain name" und fügen Sie den Namen Ihres SCEPman App Service ein, z. B. *contoso-scepman.azurewebsites.net*.
{% endhint %}
%20\(1\)%20\(2\)%20\(4\)%20\(3\)%20\(1\).png?alt=media)
## 6) Optional: Fügen Sie eine Routingregel für HTTPS hinzu
{% hint style="warning" %}
Dieser Schritt erfordert ein HTTPS-Webserverzertifikat.
{% endhint %}
{% hint style="info" %}
Die Verwendung von HTTP ohne TLS ist keine Sicherheitslücke; PKI-basierte Ressourcen werden üblicherweise über HTTP ohne TLS veröffentlicht, da der TLS-Handshake möglicherweise Zugriff auf diese Ressourcen erfordert. Die Verwendung von TLS würde ein Henne-Ei-Problem erzeugen, bei dem der TLS-Handshake Zugriff auf die PKI-Ressourcen erfordert und der Zugriff auf die PKI-Ressourcen einen TLS-Handshake erfordert. Daher verwenden diese PKI-Ressourcen, einschließlich der Protokolle SCEP und OCSP, dort, wo es erforderlich ist, ihre eigene Verschlüsselung und/oder Signaturen.
{% endhint %}
%20\(4\)%20\(3\).png?alt=media)
## 6b) Fügen Sie eine neue HTTPS-Einstellung mit Host-Header hinzu (Ihr öffentlicher FQDN von SCEPman)
## 7) Bestätigen Sie die Routingregeln
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(2\).png?alt=media)
## 8) Schließen Sie die Konfiguration des Application Gateway ab
%20\(4\)%20\(3\)%20\(1\).png?alt=media)
## 9) Konfigurieren Sie den DNS-Namen für die IP
Fügen Sie dann einen DNS-Namen für das Gateway hinzu:
1. Öffnen Sie die IP-Adressressource
2. Fügen Sie einen Namen Ihrer Wahl als DNS-Namensbezeichnung hinzu
Optional: Sie können in Ihrem eigenen DNS-Server einen CNAME-Eintrag für den DNS-Namen hinzufügen.
{% hint style="info" %}
Im geo-reduzierten Szenario können Sie in Cisco ISE weiterhin die benutzerdefinierte SCEPman-Domain-URL (die auf den Traffic Manager verweist) und die URL des Application Gateway als OCSP-Responder verwenden.
{% endhint %}
{% hint style="info" %}
Die OCSP-Responder-URL wäre: `http:///ocsp`
**Hinweis:** Die OCSP-Responder-URL sollte HTTP und nicht HTTPS sein, siehe [hier](https://docs.scepman.com/de/andere/troubleshooting/pages/86ebde45c4ddad114e012372246f2e55c35870d6#id-21.-can-https-only-be-enabled)
{% endhint %}
## Intune/JAMF-Konfiguration
In der Intune-Konfiguration können Sie weiterhin die URL des App Service anstelle der URL des Azure Application Gateway verwenden. Wenn Sie dies tun, kommunizieren die Clients direkt mit dem App Service. Sie müssen die URL des Azure Application Gateway in Cisco ISE konfigurieren, da nur diese URL HTTP-1.0-Anfragen unterstützt.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://docs.scepman.com/de/andere/troubleshooting/cisco-ise-host-header-limitation.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
