ISA 连接非443端口的https站点提示错误

ISA 连接非443端口的https站点提示错误：
12204 The specified Secure Sockets Layer (SSL) port is not allowed. ISA Server is not configured to allow SSL requests from this port. Most Web browsers use port 443 for SSL requests.

故障分析：

ISA防火墙同时是网络防火墙和Web代理服务器。ISA Server的防火墙组件允许它同时执行数据包过滤和应用层状态识别；而Web代理组件允许它作为CERN兼容的HTTP 1.1 Web代理服务器。Web代理组件（实际上是ISA Server 2004防火墙内部的Web代理过滤器）可以对HTTP通信进行解码，执行应用层状态过滤，然后在转发给外部的目的Web服务器时重建HTTP通信。

可是，对于在受ISA防火墙保护的网络中的主机和一台外部网络的Web服务器间建立的SSL连接有点不一样，当内部主机通过ISA防火墙的Web代理组件发起SSL请求时，ISA防火墙可以检查HTTP头或者根据访问规则来执行过滤；但是，当它们之间的SSL连接建立后，由于在它们之间传输的数据实行了SSL隧道加密，ISA防火墙将不能再检查它们之间传输的数据。

 

在内部Web客户和目的Web服务器之间建立SSL隧道的过程如下所示：

1、内部的Web客户通过在Web浏览器的地址栏中发起一个对目的Web服务器的SSL对象的请求，如

https:URL_Name

2、用户将把这个请求发送到ISA防火墙的8080端口（默认的Web代理侦听端口）；

CONNECT URL_name:443 HTTP/1.1

3、ISA防火墙连接目的Web服务器的443端口；

4、当连接建立后，ISA防火墙返回数据给Web客户；

HTTP/1.0 200 connection established

从此时开始，客户直接和外部的Web服务器通信，而不再经过ISA防火墙的Web代理组件，因此，ISA防火墙不能再对封装在SSL隧道中的数据和命令执行应用层状态识别。

当外部Web服务器使用标准的SSL端口TCP 443时，一切都是很正常的，但是，有时候你的Web代理客户也会使用其他的端口来访问SSLWeb站点，例如，Web代理客户可能会使用端口4433替代443来访问银行的Web站点，这样会导致SNAT客户和防火墙客户产生错误，因为ISA防火墙默认会转发SNAT客户和防火墙客户的HTTP连接到Web代理过滤器，客户可能会看见空白页或者指出该页面不能访问的错误页。

解决方法：

参考微软KB：http://support.microsoft.com/kb/283284/en-us

比如增加 9443端口：

The following Visual Basic Scripting Edition script (VBScript) is an example of how to add ports to the tunnel port range:

set isa=CreateObject("FPC.Root")
set tprange=isa.GetContainingArray.ArrayPolicy.WebProxy.TunnelPortRanges    
set tmp=tprange.AddRange("SSL 9443", 9443, 9443)    
tprange.Save    

 

"A restart of the Microsoft Firewall Service is required after you run the script"

 

运行完脚本需要重新启动下Microsoft Firewall Service 。

 

ISA 2004的用另一段代码，现在应该很少用2004了吧：

To add a tunnel port range with Microsoft Internet Security and Acceleration (ISA) Server 2004, this VBScript script will add port 10000:

Dim root    
Dim tpRanges    
Dim newRange    
Set root = CreateObject("FPC.Root")    
Set tpRanges = root.GetContainingArray.ArrayPolicy.WebProxy.TunnelPortRanges    
set newRange = tpRanges.AddRange("SSL 10000", 10000, 10000)    
tpRanges.Save    

Note This script does not produce any output if it succeeds. If you run it again, it will produce an error because the range being set already exists.

 

运行完脚本后不会有任何提示，如果你再运行一遍的话可能会有错误弹出来。