IIS 反向代理和源服务器之间的客户端证书身份验证

Question

我对 IIS 相当陌生。 我们需要使用 IIS 设置反向代理。 现在源/后端服务器可以在 HTTP 或 HTTPS 上。

我们已在 IIS 上成功配置相互身份验证，以便客户端要求 SSL 并提供客户端证书。

我们现在需要的是启用 IIS 反向代理和源服务器之间的相互身份验证。 如下所示：

----------                ---------------------                ----------
| Client | --- HTTPS ---> | IIS Reverse Proxy | --- HTTPS ---> | Origin |
----------                ---------------------                ----------

此设置要求与此问题类似，只是该问题使用 Apache HTTPD。 IIS 是否可以进行此设置？

任何参考链接/文档将不胜感激。

Answer 1

恐怕在没有客户端的情况下，本地 ARR 和源服务器之间无法进行相互身份验证。 因为我们找不到那种 ProxyCertificate 属性。

您只能通过此链接设置 IIS ARR 代理。 然后客户端将能够将客户端证书发送到 ARR 服务器，并且 ARR 将添加请求 header X-ARR-ClientCert 以将客户端证书传递到您的源服务器。

https://blogs.msdn.microsoft.com/benjaminperkins/2014/06/02/configure-application-request-routing-arr-with-client-certificates/

然后您的源服务器可以通过处理 X-ARR-ClientCert header 或 asp.net HttpRequest.ClientCertificate 属性来处理身份验证。

https://docs.microsoft.com/en-us/azure/app-service/app-service-web-configure-tls-mutual-auth