Obligatorische Validierung des HTTP-Headers vom Typ „Ursprung“

Um den Schutz vor Angriffen im Zusammenhang mit Cross-Origin Resource Sharing (CORS) zu verstärken, wird der Ursprung des HTTP-Headers (sofern in einer HTTP-Anforderung vorhanden) standardmäßig anhand einer Liste zulässiger Ursprünge in den Horizon-Einstellungen validiert. Diese Liste enthält:

• Ursprünge, die dynamisch basierend auf Netzwerkkonfigurationen, Horizon-Einstellungen und Hochverfügbarkeitseinstellungen berechnet werden. Alle diese Ursprünge sind automatisch zugelassen.
• Ursprünge, die vom Administrator explizit konfiguriert werden können.

Automatische Positivliste

Beim Speichern der Horizon-Einstellungen werden die folgenden Elemente automatisch zur Positivliste hinzugefügt. Die Elemente in der automatische Positivliste können vom Administrator nicht gelöscht werden.

• Individuelle Netzwerkschnittstellen-IP
• In der Systemkonfiguration erwähnter UAG-Name
• Virtuelle Hochverfügbarkeits-IP
• Externe Tunnel-URL und Tunnel-URLs
• Externe Blast-URL und Blast-URLs, wenn der Port nicht angegeben ist oder nicht Port 8443 entspricht.

Alle eingehenden Anforderungen mit dem folgenden Ursprungsheader-Format sind zulässig:

• https://<hostname oder IP>
• https://<hostname oder IP>:443
• <hostname oder IP>
• <hostname oder IP>:443
• http://<hostname oder IP>
• http://<hostname oder IP>:80

Explizit konfigurierte Liste

Wenn HTTP-Anforderungen mit anderen Werten im Ursprungsheader als den dynamisch berechneten an Unified Access Gateway gesendet werden können, müssen diese Werte vom Administrator mithilfe einer der folgenden Methoden explizit zur Positivliste hinzugefügt werden:

• Verwenden Sie die Einstellung Automatische Positivliste in der Admin-Benutzeroberfläche > Einstellungen für Edge-Dienst > Horizon-Einstellungen.
• Verwenden Sie die Datei .ini während der Bereitstellung über das PowerShell-Skript. Eine Beispiel-INI-Datei ist im Bereitstellungsskript enthalten, um die Konfiguration dieser Liste zu erleichtern.

Beispielkonfiguration

[Horizon]
....
originCheckEnabled=true
originHeaderDetailsList=1,2,3

[OriginHeaderDetails1]
origin=userorigin.com
rewriteEnabled=true

[OriginHeaderDetails2]
origin=tunnelurl.com
rewriteEnabled=false

[OriginHeaderDetails3]
origin=https://uag-origin.test.com:443
rewriteEnabled=true

Standardmäßig ist die Umschaltfläche Ursprung umschreiben (in der Admin-Benutzeroberfläche) oder das Feld rewriteEnabled in der .ini-Datei für alle Einträge in der automatischen Positivliste deaktiviert. Wenn diese Option aktiviert ist und für den angegebenen Ursprung eine HTTP-Anforderung diesen Wert im HTTP-Header „Ursprung“ enthält, wird dieser HTTP-Header-Wert in den in der Verbindungsserver-URL angegebenen Wert überschrieben, während Unified Access Gateway die Anforderung an Horizon Connection Server sendet.

Wenn der Wert des Ursprungsheaders in einer HTTP-Anforderung nicht Teil dieser Positivliste ist, wird HTTP 404 zurückgegeben.

Upgrade von einer älteren Version auf 25.03 und höher

Wenn eine HTTP-Anforderung an Unified Access Gateway einen Ursprungswert hat, der nach dem Upgrade nicht in der automatischen Positivliste enthalten ist, muss der Administrator ihn manuell hinzufügen. Siehe Explizit konfigurierte Liste.