IIS反向代理和源服务器之间的客户端证书身份验证

Question

我是IIS的新手。我们需要使用IIS设置反向代理。现在源端/后端服务器可以是HTTP或HTTPS。

我们已经成功地在IIS上为客户端配置了相互身份验证，使其需要SSL并提供客户端证书。

我们现在需要的是启用IIS反向代理和源服务器之间的相互身份验证。如下所示：

----------                ---------------------                ----------
| Client | --- HTTPS ---> | IIS Reverse Proxy | --- HTTPS ---> | Origin |
----------                ---------------------                ----------

此设置要求类似于this question，只是问题使用Apache HTTPD。是否可以使用IIS进行此设置？

任何参考链接/文档都将不胜感激。

Answer 1

在没有客户端的情况下，原生ARR和源站之间恐怕无法进行双向认证。因为我们找不到一种ProxyCertificate属性。

您只能通过此链接设置IIS ARR代理。然后，客户端将能够向ARR Server发送客户端证书，并且ARR将添加一个请求头X-ARR-ClientCert，以将客户端证书发送到您的源服务器。

https://blogs.msdn.microsoft.com/benjaminperkins/2014/06/02/configure-application-request-routing-arr-with-client-certificates/

然后，您的源站可以通过处理X-ARR-ClientCert头部或asp.net HttpRequest.ClientCertificate属性来处理身份验证。

https://docs.microsoft.com/en-us/azure/app-service/app-service-web-configure-tls-mutual-auth