c# - IIS7 应用程序请求路由 HTTPS

Question

我有一个反向代理将流量路由到我的应用服务器..

我的公共(public)网站上有通过 HTTPS 提供的登录功能。 SSL 证书仅安装在反向代理服务器中。我的应用服务器没有 SSL 证书。反向代理服务器中启用了 SSL 卸载。

目前为止一切正常，我可以通过 HTTPS 访问登录页面和成员(member)区。但是，我注意到我的 session cookie 不安全...

我正在使用 .NET Membership Provider 进行身份验证，这将生成 ASPXAUTH session cookie，如您所知。我尝试通过以下方式为此 cookie 启用 httponly 和安全标志:

1. 在 web.config 中为表单例份验证变量添加 requiressl=true
2. 添加带有 httponly 和 requiressl=true 的 httpcookie 变量。

当我尝试登录时，第一个设置总是给我 502 错误。502 - Web 服务器在充当网关或代理服务器时收到无效响应。

第二个设置给了我 httponly 标志但没有安全标志(我在测试时禁用了第一个设置)。

如何解决这个..一些问题:

1. 我是否需要在所有服务器(包括我的应用程序服务器)中安装 SSL？
2. 有什么解决方法吗？

请指教。

附言

我正在使用 IIS 7.5(反向代理)

应用程序请求路由(反向代理)

IIS UrlRewrite 模块(反向代理)

IIS 8(应用服务器)

Answer 1

某些应用程序被编程为检测您是否使用 HTTPS，并且由于实际的 Web 服务器正在处理启用了卸载的 HTTP 请求，它会认为该请求不安全并且通常会在重定向循环中结束。

您可以通过在每个内容服务器上设置一个通配符证书并禁用 ssl 卸载来解决此问题。

[ARR01 - ssl certificate] - [ARR02 - ssl certificate] <-- Visitors will see this SSL Certificate in their browser
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
[Content01 - wildcard ssl certificate] - [Content02 - wildcard ssl certificate] <-- This certificate remains hidden and thus can be a shared single wildcard cert.