# Limitação do Cabeçalho Host do Cisco ISE
Tanto o Cisco ISE como o Aruba ClearPass (apenas até e incluindo **ClearPass 6.9.5**) não suportam HTTP 1.1 ao procurar OCSP e não enviam um cabeçalho Host no seu pedido OCSP. Isto provavelmente ocorre porque o OpenSSL até à versão 1.0.2, que parece estar a ser usado no backend, [exigia um parâmetro adicional para enviar o cabeçalho Host para pedidos OCSP](https://github.com/openssl/openssl/issues/1986), enquanto o OpenSSL 1.1.0 lançado em agosto de 2016 faz isso automaticamente. Portanto, eles não conseguem ligar-se a uma instância geral do SCEPman em execução no Azure App Services. A mensagem de erro poderá ser semelhante a esta:
%20\(4\)%20\(4\)%20\(4\)%20\(4\)%20\(4\)%20\(2\)%20\(1\).jpg?alt=media)
A Cisco está atualmente a investigar melhorias futuras, mas, por enquanto, pode usar um [Azure Application Gateway](https://azure.microsoft.com/en-us/services/application-gateway/) para disponibilizar uma instância do SCEPman que não requer um Host Header.
As instruções seguintes descrevem os passos necessários para criar um Azure Application Gateway para o SCEPman:
## 1) Criar um novo Application Gateway
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\).png?alt=media)
## 2) Fornecer as informações básicas necessárias
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\).png?alt=media)
## 3) Criar um novo endereço IP público estático
%20\(4\)%20\(5\)%20\(5\)%20\(5\)%20\(2\)%20\(1\).png?alt=media)
## 4) Criar um novo Backend Pool e apontá-lo para o seu SCEPman App Service
%20\(4\)%20\(5\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(2\)%20\(6\).png?alt=media)
{% hint style="info" %}
No cenário Geo-Redundant, deve adicionar ambos os SCEPman app services ao backend pool.
{% endhint %}
## 5) Adicionar uma regra de encaminhamento para HTTP
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(1\)%20\(2\)%20\(1\).png?alt=media)
## 5b) Adicionar uma nova definição HTTP com Host Header (o seu FQDN público do SCEPman)
{% hint style="warning" %}
Por volta do início de junho, a Microsoft introduziu um erro no Azure Application Gateway que impede a adição de um cabeçalho Host a pedidos sem host-header quando "Pick host name from backend target" está selecionado. Numa versão anterior desta documentação, recomendámos "Pick host name from backend target", mas isso já não funciona. Como solução alternativa, escolha "Override with specific domain name", como mostrado abaixo, e insira o nome do seu SCEPman App Service, por exemplo, *contoso-scepman.azurewebsites.net*.
{% endhint %}
%20\(1\)%20\(2\)%20\(4\)%20\(3\)%20\(1\).png?alt=media)
## 6) Opcional: Adicionar uma regra de encaminhamento para HTTPS
{% hint style="warning" %}
Este passo requer um certificado de servidor Web HTTPS.
{% endhint %}
{% hint style="info" %}
A utilização de HTTP sem TLS não é uma vulnerabilidade de segurança; os recursos baseados em PKI são normalmente publicados via HTTP sem TLS, uma vez que o handshake TLS pode exigir acesso a estes recursos. A utilização de TLS criaria um problema de ovo e galinha, em que o handshake TLS requer acesso aos recursos PKI e o acesso aos recursos PKI requer um handshake TLS. Por isso, estes recursos PKI, incluindo os protocolos SCEP e OCSP, utilizam a sua própria encriptação e/ou assinaturas quando isso é necessário.
{% endhint %}
%20\(4\)%20\(3\).png?alt=media)
## 6b) Adicionar uma nova definição HTTPS com Host Header (o seu FQDN público do SCEPman)
## 7) Confirmar as Regras de Encaminhamento
%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(2\)%20\(1\).png?alt=media)
## 8) Concluir a configuração do Application Gateway
%20\(4\)%20\(3\)%20\(1\).png?alt=media)
## 9) Configurar o nome DNS para o IP
Depois, adicione um nome DNS para o Gateway:
1. Abra o recurso de Endereço IP
2. Adicione um nome à sua escolha como etiqueta de nome DNS
Opcional: Pode adicionar uma entrada CNAME para o nome DNS no seu próprio servidor DNS.
{% hint style="info" %}
No cenário Geo-Redundant, ainda pode usar o URL de domínio personalizado do SCEPman (que aponta para o traffic manager) e o URL do Application Gateway no Cisco ISE como um respondedor OCSP.
{% endhint %}
{% hint style="info" %}
O URL do respondedor OCSP seria: `http:///ocsp`
**Nota:** O URL do respondedor OCSP deve ser HTTP e não HTTPS, veja [aqui](https://docs.scepman.com/pt/security-faq#id-21.-can-https-only-be-enabled)
{% endhint %}
## configuração do Intune/JAMF
Ainda pode usar o URL do App Service em vez do URL do Azure Application Gateway na configuração do Intune. Se fizer isso, os clientes comunicam diretamente com o App Service. Deve configurar o URL do Azure Application Gateway no Cisco ISE, uma vez que apenas este URL suporta pedidos HTTP 1.0.
