對於使用HttpModule的非本地網絡請求，在IIS中要求客戶端證書

Question

對於不是源於本地網絡的任何請求，我都需要在IIS中的站點上要求客戶端證書。 任何本地請求都不需要客戶端證書。 有沒有辦法在IIS中做到這一點？ 我當時正在考慮將IIS配置為允許客戶端證書但不要求它們，然后使用自定義HttpModule來檢查原始IP地址，並從本地網絡中踢回任何未包含客戶端證書的內容。

那行得通嗎？ 您將如何解決該問題？

Answer 1

我有幾種解決方法。 您可以選擇自己喜歡的東西：

1. 復制站點。 一個應該要求客戶端SSL，而另一個則不需要。 第二個應該禁用外部訪問。

2. 為本地計算機安裝客戶端SSL。 除非您在獲取客戶端證書時遇到一些基礎結構問題，否則這可能是最簡單的方法。

3. 當IIS需要客戶端SSL時，它將以“ need client ssl”類型的消息響應所有HTTP請求。 然后，客戶端（例如，瀏覽器）通過傳遞所需的證書來更新其請求（例如，顯示IE的IE對話框）。 您可以使用HttpModule為本地請求捕獲這些消息。