使用反向代理的客戶端證書認證

Question

我爲我的客戶端和服務器使用SSL相互認證。現在我想添加一個反向代理。據我所知，反向代理無法將客戶端證書轉發到後端Web服務器。我能解決這個缺點嗎？例如。我的反向代理服務器可以將客戶端信息發送到我的後端Web服務器，以便讓我的服務器知道客戶端正在使用哪種證書？

我使用IIS 7.5。

Answer 1

如果您在意：是的，您可以：Piotr Walat在他的偉大文章中解釋了它的工作原理。

http://www.piotrwalat.net/client-certificate-authentication-in-asp-net-web-api-and-windows-store-apps/

如果你得到一個403.7回來檢查是否安裝客戶端證書。

如果它仍然不起作用，您的CA列表可能太長（http://support.microsoft.com/kb/933430）。最簡單的解決方案是在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL的服務器註冊表中添加名爲SendTrustedIssuerList的DWORD（不是QWORD！），並將其設置爲0。這將阻止服務器發送一個列表，讓客戶端從任何已安裝的客戶端證書中進行選擇。