IIS 反向代理和源服务器之间的客户端证书身份验证答案

【问题标题】：Client Certificate Authentication between IIS reverse proxy and origin serverIIS 反向代理和源服务器之间的客户端证书身份验证
【发布时间】：2019-11-19 13:20:28
【问题描述】：

我对 IIS 相当陌生。我们需要使用 IIS 设置反向代理。现在源/后端服务器可以使用 HTTP 或 HTTPS。

我们已成功在 IIS 上为客户端配置相互身份验证，以要求 SSL 并提供客户端证书。

我们现在需要的是启用 IIS 反向代理和源服务器之间的相互身份验证。如下所示：

----------                ---------------------                ----------
| Client | --- HTTPS ---> | IIS Reverse Proxy | --- HTTPS ---> | Origin |
----------                ---------------------                ----------

此设置要求类似于this question，只是该问题使用 Apache HTTPD。 IIS 可以进行这种设置吗？

任何参考链接/文档将不胜感激。

【问题讨论】：

标签： iis reverse-proxy mutual-authentication ssl-client-authentication

【解决方案1】：

恐怕在没有客户端的情况下，本地 ARR 和源服务器之间无法进行相互身份验证。因为我们找不到某种 ProxyCertificate 属性。

您只能通过此链接设置 IIS ARR 代理。然后客户端将能够将客户端证书发送到 ARR 服务器，ARR 将添加一个请求标头 X-ARR-ClientCert 以将客户端证书传递到您的源服务器。

https://blogs.msdn.microsoft.com/benjaminperkins/2014/06/02/configure-application-request-routing-arr-with-client-certificates/

然后您的源服务器可以通过处理 X-ARR-ClientCert 标头或 asp.net HttpRequest.ClientCertificate 属性来处理身份验证。

https://docs.microsoft.com/en-us/azure/app-service/app-service-web-configure-tls-mutual-auth

【讨论】：