> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/fr/autres/troubleshooting/cisco-ise-host-header-limitation.md).
# Limitation de l'en-tête Host de Cisco ISE
Cisco ISE ainsi qu’Aruba ClearPass (uniquement jusqu’à et y compris **ClearPass 6.9.5**) ne prennent pas en charge HTTP 1.1 lors de la recherche OCSP et n’envoient pas d’en-tête Host dans leur requête OCSP. Cela est probablement dû au fait qu’OpenSSL jusqu’à la version 1.0.2, qui semble être utilisé dans le backend, [nécessitait un paramètre supplémentaire pour envoyer l’en-tête Host pour les requêtes OCSP](https://github.com/openssl/openssl/issues/1986), tandis qu’OpenSSL 1.1.0, publié en août 2016, le fait automatiquement. Par conséquent, ils ne peuvent pas se connecter à une instance SCEPman générique exécutée sur Azure App Services. Le message d’erreur peut ressembler à ceci :
%20\(4\)%20\(4\)%20\(4\)%20\(4\)%20\(4\)%20\(2\)%20\(1\).jpg?alt=media)
Cisco étudie actuellement de futures améliorations, mais pour le moment vous pouvez utiliser un [Azure Application Gateway](https://azure.microsoft.com/en-us/services/application-gateway/) pour fournir une instance de SCEPman ne nécessitant pas d’en-tête Host.
Les instructions suivantes décrivent les étapes nécessaires pour créer une Azure Application Gateway pour SCEPman :
## 1) Créez une nouvelle Application Gateway
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\).png?alt=media)
## 2) Fournissez les informations de base nécessaires
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(2\).png?alt=media)
## 3) Créez une nouvelle adresse IP publique statique
%20\(4\)%20\(5\)%20\(5\)%20\(5\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(3\)%20\(8\).png?alt=media)
## 4) Créez un nouveau Backend Pool et faites-le pointer vers votre App Service SCEPman
%20\(4\)%20\(5\)%20\(2\).png?alt=media)
{% hint style="info" %}
Dans le scénario géoredondant, vous devez ajouter les deux App Services SCEPman au Backend Pool.
{% endhint %}
## 5) Ajoutez une règle de routage pour HTTP
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\).png?alt=media)
## 5b) Ajoutez un nouveau paramètre HTTP avec en-tête Host (votre FQDN public SCEPman)
{% hint style="warning" %}
Vers le début du mois de juin, Microsoft a introduit un bogue dans Azure Application Gateway qui empêche d’ajouter un en-tête Host à des requêtes sans en-tête Host lorsque « Pick host name from backend target » est sélectionné. Nous recommandions « Pick host name from backend target » dans une version précédente de cette documentation, mais cela ne fonctionne plus. Comme solution de contournement, choisissez « Override with specific domain name » comme illustré ci-dessous et saisissez le nom de votre App Service SCEPman, par ex. *contoso-scepman.azurewebsites.net*.
{% endhint %}
%20\(1\)%20\(2\)%20\(4\)%20\(3\)%20\(1\).png?alt=media)
## 6) Facultatif : Ajoutez une règle de routage pour HTTPS
{% hint style="warning" %}
Cette étape nécessite un certificat de serveur web HTTPS.
{% endhint %}
{% hint style="info" %}
L’utilisation de HTTP sans TLS n’est pas une vulnérabilité de sécurité ; les ressources basées sur une PKI sont couramment publiées via HTTP sans TLS, car la négociation TLS peut nécessiter l’accès à ces ressources. L’utilisation de TLS créerait un problème de l’œuf et de la poule, où la négociation TLS nécessite l’accès aux ressources PKI et l’accès aux ressources PKI nécessite une négociation TLS. Par conséquent, ces ressources PKI, y compris les protocoles SCEP et OCSP, utilisent leur propre chiffrement et/ou leurs propres signatures là où cela est nécessaire.
{% endhint %}
%20\(4\)%20\(3\).png?alt=media)
## 6b) Ajoutez un nouveau paramètre HTTPS avec en-tête Host (votre FQDN public SCEPman)
## 7) Confirmez les règles de routage
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(2\).png?alt=media)
## 8) Finalisez la configuration de l’Application Gateway
%20\(4\)%20\(3\)%20\(1\).png?alt=media)
## 9) Configurez le nom DNS pour l’adresse IP
Ensuite, ajoutez un nom DNS pour la passerelle :
1. Ouvrez la ressource Adresse IP
2. Ajoutez un nom de votre choix comme étiquette de nom DNS
Facultatif : vous pouvez ajouter une entrée CNAME pour le nom DNS dans votre propre serveur DNS.
{% hint style="info" %}
Dans un scénario géoredondant, vous pouvez toujours utiliser l’URL de domaine personnalisé SCEPman (qui pointe vers le Traffic Manager) et l’URL de l’Application Gateway dans Cisco ISE comme répondeur OCSP.
{% endhint %}
{% hint style="info" %}
L’URL du répondeur OCSP serait : `http:///ocsp`
**Remarque :** L’URL du répondeur OCSP doit être en HTTP et non en HTTPS, voir [ici](https://docs.scepman.com/fr/autres/troubleshooting/pages/e401b81bb64086ec429e3b22114b42e99eff6dcc#id-21.-can-https-only-be-enabled)
{% endhint %}
## Configuration Intune/JAMF
Vous pouvez toujours utiliser l’URL de l’App Service au lieu de celle de l’Azure Application Gateway dans la configuration Intune. Si vous faites cela, les clients communiquent directement avec l’App Service. Vous devez configurer l’URL de l’Azure Application Gateway dans Cisco ISE, car seule cette URL prend en charge les requêtes HTTP 1.0.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.scepman.com/fr/autres/troubleshooting/cisco-ise-host-header-limitation.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
