Introduction
Ce document décrit le problème d'affichage incorrect des pages EUN sur Cisco SWA pour les requêtes HTTPS explicites.
Conditions préalables
Exigences
Les informations contenues dans ce document supposent que :
- L'appareil Web sécurisé (SWA) est déployé en mode explicite.
- Le SWA est exécuté sur les versions 7.7.0 et antérieures.
- Les requêtes HTTPS sont bloquées, averties ou nécessitent un accusé de réception de la part de l'utilisateur.
- Le décodage HTTPS est activé.
Composants utilisés
Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.
Problème
Les pages Avertissement, Accusé de réception ou Notification de l'utilisateur final ne s'affichent pas correctement pour les demandes HTTPS explicites. Le navigateur affiche une page de notification incomplète, ou il n'affiche pas du tout la page et affiche à la place une page d'erreur.
Plusieurs problèmes entourent ces pages lorsque vous utilisez des requêtes HTTPS explicites. Lorsque vous configurez votre navigateur pour utiliser un proxy, le trafic HTTPS est dirigé vers le SWA sur HTTP. Cette requête est formatée en HTTPS sur HTTP.
Il existe deux problèmes connus avec les navigateurs qui ne gèrent pas correctement les réponses HTTP que le SWA retourne pour les requêtes HTTPS explicites :
- Lorsqu'une demande HTTPS explicite est bloquée, avertie ou nécessite un accusé de réception de la part de l'utilisateur, le SWA renvoie un code d'état HTTP/403.
- Dans cette réponse, le SWA inclut le contenu de notification qui doit normalement être affiché à l'écran afin d'être visible. Cependant, dans certains cas, le navigateur ne peut pas comprendre la réponse dans le contenu renvoyé.
Voici le comportement du navigateur observé :
- Lorsque Internet Explorer version 6 (IE6) et certaines versions d'IE7 sont utilisées, ces requêtes ne parviennent pas à restituer le contenu complet de la réponse HTML. Le navigateur ne prend en compte que les premiers octets (le contenu du premier paquet) et ignore le reste. Dans de tels cas, vous voyez une page incomplète qui n'affiche que quelques caractères.
Remarque : Si tel est le cas, Cisco vous recommande de réduire la page de notification par défaut de la réponse SWA. Pour plus d'informations sur la façon de modifier votre page EUN, référez-vous à la section Modification des fichiers HTML de la page de notification directement du Guide de l'utilisateur SWA.
- Quand IE8 et les versions plus récentes de Mozilla Firefox Release 3 sont utilisés, le navigateur ignore complètement la réponse que le SWA retourne et le masque avec sa propre page d'erreur. Ce comportement de navigateur va à l'encontre de l'objectif de la notification 403 et perturbe la fonctionnalité.
Solution
Cette section décrit le processus qui se produit lorsque le décodage HTTPS est activé sur le SWA. Ce problème a été résolu dans la version 7.7.0-500 et ultérieure de SWA (ID de bogue Cisco CSCzv25138). Pour contourner le problème décrit précédemment, utilisez les informations fournies afin de vous assurer que votre système est configuré en conséquence.
Voici un exemple de flux de trafic lorsqu'une requête HTTPS explicite est envoyée :
- Lorsque le décodage HTTPS est activé, le SWA valide d'abord la demande par rapport aux stratégies de décodage.
- Si la demande est marquée pour PASSTHROUGH, alors le trafic est autorisé (pas d'avertissement ou EUN).
- Si la demande est marquée comme DÉCHIFFRÉE, alors la demande est validée par rapport aux stratégies d'accès. Dans ce cas, si la stratégie d'accès est configurée afin de WARN ou de BLOCK, alors la page EUN s'affiche correctement. Malheureusement, pour l'accusé de réception, l'utilisateur doit accéder à la page HTTP et à l'accusé de réception, ce qui nécessite une navigation dans le proxy, puis sur le site HTTPS.
- Le SWA se souvient de l'adresse IP du client et ne nécessite pas d'autre accusé de réception avant l'expiration du minuteur.
Informations connexes
Commentaires