Azure Application Gateway Beispielkonfiguration als Reverse Proxy in der IGEL UMS mit SSL Offloading

Dieser Artikel beschreibt die Konfigurationen der IGEL Universal Management Suite (UMS) sowie des Azure Application Gateway, die für SSL Offloading erforderlich sind.

Voraussetzungen

Die Anforderungen an UMS und Zertifikatskonfiguration für einen Reverse Proxy sind in UMS für die Integration eines Reverse Proxy mit SSL Offloading konfigurieren zusammengefasst.

Prozessübersicht

Die Konfigurationsaufgaben für den Reverse Proxy sind:

• UMS- / ICG-Konfiguration und Zertifikatexport wie unter UMS für die Integration eines Reverse Proxy mit SSL Offloading konfigurieren beschrieben.

• Erstellen des Azure Application Gateway

• Erstellen von Routing-Regeln für die Onboarding-Verbindung

• Erstellen von Routing-Regeln für die WebSocket-Verbindung

• Überprüfung der Network Security Group

• Einrichten der Mutual Authentication für die WebSocket-Verbindung

• Konfiguration von Rewrite-Regeln für die Weiterleitung des Client-Zertifikats

• Fehlerbehebung bei Zertifikatsfehlern (falls erforderlich)

Azure Application Gateway erstellen

1. Weisen Sie das korrekte Virtual network und Subnet zu.
   

   

   
   
   

2. Geben Sie die Frontend-IP-Adresse an.
   

   

   
   
   

3. Fügen Sie einen Backend-Pool mit der UMS-Adresse hinzu. Verwenden Sie den UMS / ICG FQDN oder die IP-Adresse.

   

Routing-Regel für die Onboarding-Verbindung erstellen

1. Konfigurieren Sie einen Listener:

   • Setzen Sie das Protocol auf HTTPS.

   • Setzen Sie die Public IP-Adresse.

   • Der empfohlene Portwert ist 443.
     

     

     
     
     

2. Wählen Sie die in UMS für die Integration eines Reverse Proxy mit SSL Offloading konfigurieren erstellten PFX-Datei aus und geben Sie das entsprechende Passwort ein.
   
   

3. Konfigurieren Sie die Backend-Ziele. Der bereits erstellte Backend-Pool kann ausgewählt werden, anschließend müssen die Backend-Einstellungen ergänzt werden.
   

   

   
   
   

4. Unter Backend-Einstellungen hinzufügen setzen Sie das Backend-Protokoll auf HTTPS und tragen den UMS Web-Port als Backend-Port ein.
   

   

   
   
   

5. Wählen Sie das in UMS für die Integration eines Reverse Proxy mit SSL Offloading konfigurieren exportierte UMS Web-/Cloud Gateway Root-Zertifikat aus.
   
   

6. Setzen Sie den Wert für Request time-out (seconds) auf mindestens 130 Sekunden.
   
   

7. Stellen Sie sicher, dass Override with new host name aktiviert ist, und setzen Sie den Host name override.
   

   

   
   
   

8. Setzen Sie eine Custom probe.
   

   

Custom Probe Einstellungen:

Routing-Regel für die WebSocket-Verbindung erstellen

1. Konfigurieren Sie einen Listener:

   • Setzen Sie das Protocol auf HTTPS.

   • Setzen Sie die Public IP-Adresse.

   • Der empfohlene Portwert ist 8443.
     

     

     
     
     

2. Wählen Sie die in UMS für die Integration eines Reverse Proxy mit SSL Offloading konfigurieren erstellten PFX-Datei aus und geben Sie das entsprechende Passwort ein.
   
   

3. Verwenden Sie die gleichen Backend-Einstellungen wie für die Onboarding-Verbindung.
   

   

Network Security Group überprüfen

1. Öffnen Sie die für das Gateway-Netzwerk verwendete Network Security Group und prüfen Sie, ob die verwendeten Ports aufgeführt sind.
   

   

   
   
   

2. Wenn sie nicht aufgeführt sind, fügen Sie diese hinzu.

Mutual Authentication für die WebSocket-Verbindung konfigurieren

Die Mutual Authentication kann im Azure Application Gateway über SSL Profiles konfiguriert werden:

1. Fügen Sie unter SSL settings ein SSL Profile hinzu.
   
   

2. Im Abschnitt Client Authentication wird das EST CA-Zertifikat benötigt, das aus der UMS exportiert wurde.
   

   

   
   
   

3. Weisen Sie das SSL Profile dem WebSocket-Listener zu, nicht dem Onboarding-Listener!
   

Rewrite für die Weiterleitung des Client-Zertifikats hinzufügen

Das Client-Zertifikat muss an die UMS weitergeleitet werden. Das Application Gateway kann so konfiguriert werden, dass dies über eine Rewrite-Definition erfolgt.

1. Erstellen Sie ein Rewrite-Set und weisen Sie es der entsprechenden Regel zu.
   

2. Fügen Sie die folgende Rewrite-Regel hinzu:

Fehlerbehebung bei Zertifikatsfehlern: Common Name stimmt nicht überein

Das UMS- oder ICG-Zertifikat muss den FQDN des Backend-Servers als Common Name enthalten. Dieser Wert ist für die Verbindung des Azure Application Gateway zum Backend zwingend erforderlich. Wenn das Zertifikat nicht korrekt ist, tritt der folgende Fehler auf.

Wenn der Common Name nicht angepasst werden kann, ist es möglich, den Hostnamen der UMS / des ICG in den Backend-Einstellungen anzupassen. In diesem Fall muss eine Custom Probe mit dem entsprechenden Hostname-Wert definiert werden.