> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/es/otro/troubleshooting/cisco-ise-host-header-limitation.md).
# Limitación del encabezado Host de Cisco ISE
Tanto Cisco ISE como Aruba ClearPass (solo hasta e incluyendo **ClearPass 6.9.5**) no admiten HTTP 1.1 al consultar OCSP y no envían un encabezado de host en su solicitud OCSP. Esto probablemente se deba a que OpenSSL hasta la versión 1.0.2, que parece estar usado en el backend, [requería un parámetro adicional para enviar el encabezado de host para las solicitudes OCSP](https://github.com/openssl/openssl/issues/1986), mientras que OpenSSL 1.1.0, lanzado en agosto de 2016, lo hace automáticamente. Por lo tanto, no pueden conectarse a una instancia general de SCEPman que se ejecuta en Azure App Services. El mensaje de error puede verse así:
%20\(4\)%20\(4\)%20\(4\)%20\(4\)%20\(4\)%20\(2\)%20\(1\).jpg?alt=media)
Cisco está investigando actualmente mejoras futuras, pero por el momento puede usar un [Azure Application Gateway](https://azure.microsoft.com/en-us/services/application-gateway/) para proporcionar una instancia de SCEPman que no requiera un Host Header.
Las siguientes instrucciones describen los pasos necesarios para crear un Azure Application Gateway para SCEPman:
## 1) Crear un nuevo Application Gateway
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\).png?alt=media)
## 2) Proporcione la información básica necesaria
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(2\).png?alt=media)
## 3) Cree una nueva dirección IP pública estática
%20\(4\)%20\(5\)%20\(5\)%20\(5\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(3\)%20\(8\).png?alt=media)
## 4) Cree un nuevo Backend Pool y diríjalo a su App Service de SCEPman
%20\(4\)%20\(5\)%20\(2\).png?alt=media)
{% hint style="info" %}
En el escenario georredundante, debe agregar ambos servicios de aplicación de SCEPman al grupo de backend.
{% endhint %}
## 5) Agregue una regla de enrutamiento para HTTP
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\).png?alt=media)
## 5b) Agregue una nueva configuración HTTP con encabezado de host (su FQDN público de SCEPman)
{% hint style="warning" %}
A principios de junio, Microsoft introdujo un error en Azure Application Gateway que impide agregar un encabezado de host a solicitudes sin encabezado de host cuando se selecciona "Seleccionar el nombre de host del destino de backend". Recomendamos "Seleccionar el nombre de host del destino de backend" en una versión anterior de esta documentación, pero esto ya no funciona. Como solución alternativa, elija "Anular con un nombre de dominio específico" como se muestra abajo e introduzca el nombre de su App Service de SCEPman, por ejemplo. *contoso-scepman.azurewebsites.net*.
{% endhint %}
%20\(1\)%20\(2\)%20\(4\)%20\(3\)%20\(1\).png?alt=media)
## 6) Opcional: Agregue una regla de enrutamiento para HTTPS
{% hint style="warning" %}
Este paso requiere un certificado de servidor web HTTPS.
{% endhint %}
{% hint style="info" %}
El uso de HTTP sin TLS no es una vulnerabilidad de seguridad; los recursos basados en PKI suelen publicarse mediante HTTP sin TLS, ya que el protocolo de enlace TLS puede requerir acceso a estos recursos. Usar TLS crearía un problema de la gallina y el huevo, en el que el protocolo de enlace TLS requiere acceso a los recursos PKI y el acceso a los recursos PKI requiere un protocolo de enlace TLS. Por lo tanto, estos recursos PKI, incluidos los protocolos SCEP y OCSP, emplean su propio cifrado y/o firmas cuando es necesario.
{% endhint %}
%20\(4\)%20\(3\).png?alt=media)
## 6b) Agregue una nueva configuración HTTPS con encabezado de host (su FQDN público de SCEPman)
## 7) Confirme las reglas de enrutamiento
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(2\).png?alt=media)
## 8) Finalice la configuración de Application Gateway
%20\(4\)%20\(3\)%20\(1\).png?alt=media)
## 9) Configure el nombre DNS para la IP
Luego, agregue un nombre DNS para el Gateway:
1. Abra el recurso de dirección IP
2. Agregue un nombre de su elección como etiqueta de nombre DNS
Opcional: Puede agregar una entrada CNAME para el nombre DNS en su propio servidor DNS.
{% hint style="info" %}
En el escenario georredundante, aún puede usar la URL del dominio personalizado de SCEPman (que apunta al traffic manager) y la URL de Application Gateway en Cisco ISE como respondedor OCSP.
{% endhint %}
{% hint style="info" %}
La URL del respondedor OCSP sería: `http:///ocsp`
**Nota:** La URL del respondedor OCSP debe ser HTTP y no HTTPS; consulte [aquí](https://docs.scepman.com/es/otro/troubleshooting/pages/0dc8337026f289a74965f4b4a063bd4e2459cb9f#id-21.-can-https-only-be-enabled)
{% endhint %}
## Configuración de Intune/JAMF
Todavía puede usar la URL del App Service en lugar de la de Azure Application Gateway en la configuración de Intune. Si hace esto, los clientes se comunican directamente con el App Service. Debe configurar la URL de Azure Application Gateway en Cisco ISE, ya que solo esta URL admite solicitudes HTTP 1.0.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://docs.scepman.com/es/otro/troubleshooting/cisco-ise-host-header-limitation.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
