Мы работаем над обеспечением соответствия PCI для нашего веб-сайта электронной коммерции с помощью securitymetrics.com. Последний пункт, который постоянно возникает, заключается в следующем:
Сводка: этот веб-сервер пропускает частный IP-адрес через свои HTTP-заголовки. Описание: это может открыть внутренние IP-адреса, которые обычно скрыты или замаскированы межсетевым экраном преобразования сетевых адресов (NAT) или прокси-сервером. Существует известная проблема, когда IIS 4.0 делает это в своей конфигурации по умолчанию. Это также может повлиять на другие веб-серверы, особенно при неправильной настройке перенаправления. Смотрите также : http://support.microsoft.com/support/kb/ статьи / Q218 / 1 / 80.ASP
Я внес изменения в MetaBase, используя adsutil.vbs скрипт, который задокументирован в статьях базы знаний, а также проверил эти изменения с помощью обозревателя метабазы IIS6, однако мы по-прежнему не можем выполнить этот элемент.
Мы осуществляем обратный хостинг этого сайта через брандмауэр Fortinet.
Есть предложения по тому, чего мне не хватает?
Вы имеете в виду перенаправление портов?
Какая версия IIS у вас установлена?
Вы перезапустили процесс IISadmin после настройки изменений?
побочный вопрос: есть ли что-нибудь, что мешает вам разместить это в DMZ?
Вы подключились напрямую к веб-серверу, чтобы не проходить через брандмауэр? Например, подключитесь по telnet к порту 80 и отправьте правильный запрос HTTP / 1.0 GET. Причина, по которой я спрашиваю об этом, заключается в том, что у нас была проблема, когда нас помечали, хотя мы внесли изменения в IIS. Однако мы смогли показать, что это делает балансировщик нагрузки, потому что, когда мы подключились напрямую и отправили запрос GET вручную, минуя балансировщик нагрузки, мы получили вместо этого имя сервера.