Adatum wymaga kompleksowego TLS: klienci używają HTTPS do Application Gateway, a brama musi uwierzytelniać certyfikaty backendowych App Service, aby zapobiec atakom MITM w ich sieci VNet. Jaka konfiguracja zapewnia kompleksowy TLS, w której Application Gateway weryfikuje łańcuch certyfikatów backendu?

Aby Application Gateway weryfikował łańcuch certyfikatów serwera backendu i zapewniał kompleksowy TLS, należy przesłać publiczny certyfikat główny CA (lub pośredni CA) używany przez App Service do Application Gateway jako certyfikat uwierzytelniania backendu. Dodatkowo, protokół w ustawieniach HTTP backendu musi być ustawiony na HTTPS. To połączenie konfiguracji instruuje Application Gateway, aby nawiązał bezpieczne połączenie z backendem i zweryfikował jego certyfikat na podstawie dostarczonego certyfikatu CA, zapobiegając atakom typu Man-in-the-Middle (MITM). Pozostałe opcje są nieprawidłowe, ponieważ: Samo ustawienie HTTPS i 'Override with new host name' nie zapewnia weryfikacji certyfikatu backendu przez Application Gateway. Domyślnie Application Gateway nie ufa certyfikatom backendu bez jawnej konfiguracji. Instalacja certyfikatu klienta Application Gateway w App Service i włączenie wzajemnego TLS jest mechanizmem uwierzytelniania klienta (Application Gateway do App Service), a nie weryfikacji certyfikatu serwera (App Service do Application Gateway). Zakończenie TLS na bramie i użycie HTTP do backendu eliminuje kompleksowy TLS i naraża ruch w sieci VNet na ryzyko.