Limitación del encabezado Host de Cisco ISE

Tanto Cisco ISE como Aruba ClearPass (solo hasta e incluyendo ClearPass 6.9.5) no admiten HTTP 1.1 al consultar OCSP y no envían un encabezado Host en su solicitud OCSP. Esto probablemente se deba a que OpenSSL hasta la versión 1.0.2, que parece usarse en el backend, requería un parámetro adicional para enviar el encabezado Host para las solicitudes OCSP, mientras que OpenSSL 1.1.0, lanzado en agosto de 2016, lo hace automáticamente. Por lo tanto, no pueden conectarse a una instancia general de SCEPman que se ejecuta en Azure App Services. El mensaje de error puede verse así:

Cisco está investigando actualmente futuras mejoras, pero por el momento puede usar un Azure Application Gateway para proporcionar una instancia de SCEPman que no requiera un Host Header.

Las siguientes instrucciones describen los pasos necesarios para crear un Azure Application Gateway para SCEPman:

1) Cree un nuevo Application Gateway

2) Proporcione la información básica necesaria

3) Cree una nueva dirección IP pública estática

4) Cree un nuevo Backend Pool y apúntelo a su SCEPman App Service

En el escenario georredudante, debe agregar ambos App Services de SCEPman al Backend Pool.

5) Agregue una regla de enrutamiento para HTTP

5b) Agregue una nueva configuración HTTP con Host Header (el FQDN público de su SCEPman)

A comienzos de junio, Microsoft introdujo un error en Azure Application Gateway que impide agregar un encabezado Host a solicitudes sin encabezado Host cuando se selecciona "Pick host name from backend target". Recomendamos "Pick host name from backend target" en una versión anterior de esta documentación, pero esto ya no funciona. Como solución alternativa, elija "Override with specific domain name" como se muestra a continuación e inserte el nombre de su SCEPman App Service, por ejemplo, contoso-scepman.azurewebsites.net.

6) Opcional: Agregue una regla de enrutamiento para HTTPS

Este paso requiere un certificado de servidor web HTTPS.

El uso de HTTP sin TLS no es una vulnerabilidad de seguridad; los recursos basados en PKI suelen publicarse a través de HTTP sin TLS, ya que el protocolo de enlace TLS puede requerir acceso a estos recursos. Usar TLS crearía un problema de huevo y gallina en el que el protocolo de enlace TLS requiere acceso a los recursos de PKI y el acceso a los recursos de PKI requiere un protocolo de enlace TLS. Por lo tanto, estos recursos de PKI, incluidos los protocolos SCEP y OCSP, emplean su propio cifrado y/o firmas donde es necesario.

6b) Agregue una nueva configuración HTTPS con Host Header (el FQDN público de su SCEPman)

7) Confirme las reglas de enrutamiento

8) Finalice la configuración de Application Gateway

9) Configure el nombre DNS para la IP

Luego, agregue un nombre DNS para la puerta de enlace:

1. Abra el recurso de dirección IP
2. Agregue un nombre de su elección como etiqueta de nombre DNS

Opcional: Puede agregar un registro CNAME para el nombre DNS en su propio servidor DNS.

En el escenario georredudante, aún puede usar la URL de dominio personalizado de SCEPman (que apunta al traffic manager) y la URL de Application Gateway en Cisco ISE como un respondedor OCSP.

La URL del respondedor OCSP sería: http://<Application-Gateway-URL>/ocsp

Nota: La URL del respondedor OCSP debe ser HTTP, no HTTPS, vea aquí

Configuración de Intune/JAMF

Todavía puede usar la URL del App Service en lugar de la de Azure Application Gateway en la configuración de Intune. Si hace esto, los clientes se comunican directamente con el App Service. Debe configurar la URL de Azure Application Gateway en Cisco ISE, ya que solo esta URL admite solicitudes HTTP 1.0.