Obligatorische Validierung des HTTP-Headers vom Typ „Ursprung“

Um den Schutz vor Angriffen im Zusammenhang mit Cross-Origin Resource Sharing (CORS) zu verstärken, wird der Ursprung des HTTP-Headers (sofern in einer HTTP-Anforderung vorhanden) standardmäßig anhand einer Liste zulässiger Ursprünge in den Horizon-Einstellungen validiert. Diese Liste enthält:

• Ursprünge, die dynamisch basierend auf Netzwerkkonfigurationen, Horizon-Einstellungen und Hochverfügbarkeitseinstellungen berechnet werden. Alle diese Ursprünge sind automatisch zugelassen.
• Ursprünge, die vom Administrator explizit konfiguriert werden können.

Automatische Positivliste

Beim Speichern der Horizon-Einstellungen werden die folgenden Elemente automatisch zur Positivliste hinzugefügt. Die Elemente in der automatische Positivliste können vom Administrator nicht gelöscht werden.

• Individuelle Netzwerkschnittstellen-IP
• In der Systemkonfiguration erwähnter UAG-Name
• Virtuelle Hochverfügbarkeits-IP
• Externe Tunnel-URL und Tunnel-URLs, wenn der Port nicht angegeben oder 443 angegeben ist
• Externe Blast-URL und Blast-URLs, wenn Port 443 angegeben ist

Alle eingehenden Anforderungen mit dem folgenden Ursprungsheader-Format sind zulässig:

• https://<hostname oder IP>
• https://<hostname oder IP>:443
• <hostname oder IP>
• <hostname oder IP>:443

Explizit konfigurierte Liste

Wenn HTTP-Anforderungen mit anderen Werten im Ursprungsheader als den dynamisch berechneten an Unified Access Gateway gesendet werden können, müssen diese Werte vom Administrator mithilfe einer der folgenden Methoden explizit zur Positivliste hinzugefügt werden:

• Verwenden Sie die Einstellung Automatische Positivliste in der Admin-Benutzeroberfläche > Einstellungen für Edge-Dienst > Horizon-Einstellungen.
• Verwenden Sie die Datei .ini während der Bereitstellung über das PowerShell-Skript. Eine Beispiel-INI-Datei ist im Bereitstellungsskript enthalten, um die Konfiguration dieser Liste zu erleichtern.

Beispielkonfiguration

[Horizon]
....
originCheckEnabled=true
originHeaderDetailsList=1,2,3

[OriginHeaderDetails1]
origin=userorigin.com
rewriteEnabled=true

[OriginHeaderDetails2]
origin=tunnelurl.com
rewriteEnabled=false

[OriginHeaderDetails3]
origin=https://uag-origin.test.com:443
rewriteEnabled=true

Standardmäßig ist die Umschaltfläche Ursprung umschreiben (in der Admin-Benutzeroberfläche) oder das Feld rewriteEnabled in der .ini-Datei für alle Einträge in der automatischen Positivliste deaktiviert. Wenn diese Option aktiviert ist und für den angegebenen Ursprung eine HTTP-Anforderung diesen Wert im HTTP-Header „Ursprung“ enthält, wird dieser HTTP-Header-Wert in den in der Verbindungsserver-URL angegebenen Wert überschrieben, während Unified Access Gateway die Anforderung an Horizon Connection Server sendet.

Wenn der Wert des Ursprungsheaders in einer HTTP-Anforderung nicht Teil dieser Positivliste ist, wird HTTP 404 zurückgegeben.

Upgrade von einer älteren Version auf 25.03

Wenn eine HTTP-Anforderung an Unified Access Gateway einen Ursprungswert hat, der nach dem Upgrade nicht in der automatischen Positivliste enthalten ist, muss der Administrator ihn manuell hinzufügen. Siehe Explizit konfigurierte Liste.

Zusätzliche Hinweise

• Wenn die externe Blast-URL und die externe Tunnel-URL denselben Hostnamen oder dieselbe IP mit Port 443 (Beispiel https://horizon.xyz.com:443) verwenden, wird genau diese URL automatisch zugelassen. Wenn die HTTP-Anforderung jedoch über einen Ursprungsheader ähnlich wie ( https://horizon.xyz.com ohne Port) verfügt und dieser akzeptiert werden muss, muss der Administrator ihn manuell zur automatischen Positivliste hinzufügen. Das gleiche Verhalten gilt, wenn ein Eintrag in den Feldern Zusätzliche externe Blast-URL und Zusätzliche externe Tunnel-URL gemeinsam ist, wenn der angegebene Port 443 ist.
• Wenn die Umschaltfläche Ursprungsprüfung erforderlich in der Admin-Benutzeroberfläche deaktiviert ist oder originCheckEnabled in der .ini-Datei auf „false“ gesetzt ist und wenn die Umschaltfläche Ursprung umschreiben für ein Element in der automatischen Positivliste aktiviert ist, muss der Administrator die Umschaltfläche Ursprung umschreiben in der Admin-Benutzeroberfläche manuell deaktivieren oder das Feld rewriteEnabled in der .ini-Datei für diese Elemente auf „false“ setzen.
• Um Anforderungen vom nativen Chrome-Client zu akzeptieren, stellen Sie sicher, dass Sie chrome-extension://ppkfnjlimknmjoaemnpidmdlfchhehel explizit zur Einstellung Zulässige Ursprünge hinzufügen.