Validierung des Host-Headers auf Unified Access Gateway.

Um den Schutz vor Host-Header-Angriffen zu erhöhen, validiert Unified Access Gateway (UAG) standardmäßig die HTTP-Host- und X-Forwarded-Host-Header in jeder eingehenden Anforderung. Diese Validierung wird anhand einer Liste zulässiger Host-Header erzwungen, die sowohl dynamisch berechnete als auch explizit konfigurierte Hostnamen und Ports enthält.

Validierungslisten für Host-Header

Automatische Positivliste

Wenn die Einstellungen für UAG-Netzwerk, Hochverfügbarkeit und Edge-Dienst gespeichert werden, werden die folgenden Einträge automatisch zur Liste der automatisch zulässigen Host-Header hinzugefügt.

Die Einträge in der Automatischen Positivliste dienen nur der Referenz.

• Individuelle Netzwerkschnittstellen-IPs
• UAG-Name aus der Systemkonfiguration
• Virtuelle Hochverfügbarkeits-IP
• Horizon-Einstellungen
  • Für Tunnel und Blast konfigurierte externe URLs
  • Externe Blast-URL und zusätzliche externe Blast-URLs
  • Externe Tunnel-URL und zusätzliche externe Tunnel-URLs
  • Host-Portumleitungszuordnungseinträge
• Proxy-Hostmuster und externe URL in Web-Reverse-Proxy-Einstellungen

Alle eingehenden Anforderungen mit den folgenden Hostheaderformaten sind zulässig, wenn deren Werte mit Einträgen in der Automatischen Positivliste übereinstimmen:

• <hostname oder IP>
• <hostname oder IP>:443
• <hostname oder IP>:80
• <hostname oder IP>:9443
• <hostname oder IP>:<other-auto-allowed-port>

Beispiele für akzeptierte Host-Header

Szenario 1: Wenn uag.myco.com automatisch zulässig ist, werden die folgenden Host-Header akzeptiert:

• uag.myco.com
• uag.myco.com:443
• uag.myco.com:80 (nicht zulässig, wenn eine Verbindung zur Admin-Schnittstelle auf Port 9443 hergestellt wird)
• uag.myco.com:9443 (nur zulässig, wenn eine Verbindung zur Admin-Schnittstelle auf Port 9443 hergestellt wird)

Szenario 2: Wenn test.com:10443 automatisch zulässig ist, wird nur test.com:10443 akzeptiert.

Explizit konfigurierte Liste

Wenn HTTP-Anforderungen mit anderen Werten im Host-Header als den dynamisch berechneten bei Unified Access Gateway eingehen, müssen diese Werte vom Administrator mithilfe einer der folgenden Optionen explizit zur Positivliste hinzugefügt werden:

• Option 1: Verwenden der Einstellung Zulässige Host-Header in der Admin-Benutzeroberfläche > Systemkonfiguration.

• Option 2: Verwenden der Datei .ini während der Bereitstellung über das PowerShell-Skript.

  Beispielkonfiguration

  [Allgemein]

  allowedHostHeaderValues=abc.com,abc.com:10443,uag1.example.com,uag-lb.example.com

• Option 3: Verwenden des CLI-Befehls: adminreset --allowedHostHeader

Portspezifische Validierungslogik

• Wenn ein einfacher Hostname, z. B. uag1.myco.com, hinzugefügt wird, lässt Unified Access Gateway Anforderungen mit Host-Header mit den Ports 443, 80, 9443 und einem leeren Port automatisch zu.

• Wenn ein Hostname mit einem bestimmten Port hinzugefügt wird, z. B. uag1.myco.com:10443- sind nur Anforderungen mit dem explizit aufgeführten host:port zulässig.

Beispiele für zulässige Headerformate

Fehlerbehebung bei der Validierung von Host-Headern

Wenn der Host-Header-Wert in einer eingehenden Anforderung nicht Teil der Positivliste ist, antwortet UAG mit HTTP 400.

Überprüfen Sie die folgenden Protokolldateien auf Ablehnungsmeldungen:

/opt/omnissa/gateway/logs/admin.log (Administratordienst)

/opt/omnissa/gateway/logs/esmanager.log (Horizon/Web-Reverse-Proxy-Datenverkehr)

Häufige Protokollmeldungen

• Rejecting request from <source>. The request was rejected because the domain <uag-hostname> is untrusted.

• UAGW00388: Sending bad request. Incoming request does not have valid host header: <host-header-value>, XFH: <xfh-header-value>

• Redirect host <redirect-host> does not match the allowed hosts. Hence sending 400