IIS ARR обратный прокси с аутентификацией клиентского сертификата для бекенда IIS

У нас есть устаревшие SOAP веб-сервисы (https://dev-ms01/Services/default.asmx), которые написаны на asp.net 1.1 и размещены на IIS7 (Windows Server 2008 Standard), веб-сервисы используются клиентами с предоставлением клиентского сертификата. Для настроек SSL Certificates у нас установлено Accept на этом IIS

`Client(Request with SSL Client Certificate)--> IIS7 (на хосте dev-ms01)--> Asp.Net SOAP WebServices`

Теперь я пытаюсь настроить прокси IIS (IIS10 на Windows Server 2016 64 бит с хостом secure-dev-ms01) с обратным прокси для IIS7. Я следовал статье msdn https://blogs.msdn.microsoft.com/friis/2016/08/25/setup-iis-with-url-rewrite-as-a-reverse-proxy-for-real-world-apps/, чтобы настроить URL-переписывание с обратным прокси, как указано ниже

`Client(Request with SSL Client Certificate)--> Прокси IIS10 сервер с обратным прокси (на хосте secure-dev-ms01)--> IIS7 (на хосте dev-ms01) --> Asp.Net SOAP WebServices`

На IIS10 (хост secure-dev-ms01) для настроек SSL Certificates я выбрал Accept и попробовал следующую конфигурацию обратного прокси . Когда я пытаюсь открыть URL веб-сервисов прокси как https://secure-dev-ms01/Services/default.asmx, меня просят предоставить клиентский сертификат, но после его предоставления я вижу следующую ошибку

403 - Запрещено: Доступ запрещен.
У вас нет разрешения на просмотр этого каталога или страницы с предоставленными вами учетными данными.

Я также пробовал использовать ниже RevereProxy и пытался открыть URL веб-сервисов прокси https://secure-dev-ms01/Services/default.asmx, предоставив клиентский сертификат, но все равно вижу ту же ошибку. Я также пробовал снять отметку с опции Enable SSL Offloading для обеих вышеупомянутых конфигураций обратного прокси, но это тоже не сработало

403 - Запрещено: Доступ запрещен.
У вас нет разрешения на просмотр этого каталога или страницы с предоставленными вами учетными данными.

Я нашел эту статью msdn https://blogs.msdn.microsoft.com/asiatech/2014/01/27/configuring-arr-with-client-certificate/, которая предлагает изменить настройки SSL Certificates на Ignore на сервере заднего плана (но мы не можем это сделать для нашей организации) и попробовать использовать сертификат из заголовков X-ARR-ClientCert, но мы пытаемся избежать изменений в коде для устаревших служб asp.net 1.1

Я не смог найти никаких соответствующих статей, которые могли бы сделать работу обратного прокси IIS ARR с аутентификацией клиентского сертификата для заднего плана IIS с помощью всего лишь корректировок конфигурации на IIS10 с обратным прокси вместо изменения кода/конфигурации на заднем плане IIS7, кто-нибудь может помочь мне сделать это работающим?

Я предполагаю, что у вас есть машина IIS7 (на хосте dev-ms01) в защищенной сети без прямого доступа из Интернета.

В этом случае вам нужно включить SSL offloading и аутентификацию клиентского сертификата только на Proxy IIS10 Server with ReverseProxy (на хосте secure-dev-ms01) и отключить SSL offloading и аутентификацию сертификата в IIS7.

В этой схеме IIS10 отвечает за SSL рукопожатие и проверку сертификатов. Он помещает сертификат (POM) в заголовок X-ARR-ClientCert и проксирует запросы к IIS7 через обычный HTTP, включая этот заголовок. Возможно, вам нужно настроить пропуск заголовков X-Forwarded-For, X-Forwarded-Proto, X-Forwarded-Schema и X-Forwarded-Host на IIS10 в правилах переписывания URL, если вашим ASP-сервисам это необходимо.

Итак, для вашего сервера IIS10:

• включите ARR
• добавьте правило переписывания URL, чтобы проксировать к IIS7
• настройте пропуск указанных выше заголовков в правиле переписывания
• добавьте сертификат сервера
• требуйте SSL в настройках SSL для Default Web Site
• установите настройки клиентских сертификатов равными Accept
• включите анонимную аутентификацию для вашего сайта
• настройте HTTPS привязки с сертификатом сервера

Для сервера IIS7:

• отключите HTTPS привязки
• не требуйте SSL
• не требуйте клиентских сертификатов

Надеюсь, вам удастся настроить следующую схему

Браузер ---[HTTPS]--> IIS10 --[HTTP + заголовки]--> IIS7

где заголовки – это X-ARR-ClientCert, X-Forwarded-For, X-Forwarded-Proto, X-Forwarded-Schema и X-Forwarded-Host.

IIS ARR (Application Request Routing) обратный прокси с аутентификацией клиентского сертификата обеспечивает безопасную связь между клиентами и серверами IIS на заднем плане. В этой конфигурации IIS ARR выступает в качестве обратного прокси, перенаправляя запросы к серверам заднего плана, одновременно обрабатывая завершение SSL и проверку клиентских сертификатов. Клиентский сертификат аутентифицируется на уровне ARR перед тем, как запрос будет перенаправлен на сервер IIS на заднем плане, что обеспечивает безопасную аутентификацию на основе сертификата без нагружения серверов заднего плана. Эта конфигурация повышает безопасность и масштабируемость, централизуя управление сертификатами и балансировку нагрузки.