通过 SSL 配置 IIS6 的 WCF 传输安全性

Question

我一直在尝试在 IIS6 上使用 SSL 设置 WCF 传输安全性。

客户端位于同一域的单独计算机上。

我了解证书、根 CA 等的前提，并且拥有一组用于消息安全的工作证书，并且可以在相同的环境设置中使用这些无问题。 （上周我学到的东西并不多：）

当我将客户端切换到 SSL 时，我试图让我的客户端针对 IIS 6 服务进行身份验证，这让我遇到了一场噩梦。打电话时总是收到“不允许匿名身份验证”。

在 IIS 中，我

• 在站点上设置了 SSL 端口 443 的根签名 CA 证书 （如果我浏览 https:// svc 页面，我可以看到 IE 挂锁，并且页面显示您需要证书才能进行通信）

在安全通信下，我

• 需要 SSL 通道，
• 需要 128 位加密，
• 需要客户端证书，
• 启用客户端证书映射（设置与 IIS 框上的管理员帐户进行多对一映射，目前

与网站安全（身份验证和访问控制）下的

• 证书主题 O 字段相匹配匿名访问 = 打开
• 集成 Windows 身份验证 = 关闭
• 基本身份验证 =

打开客户端 wsHttpBinding 我有一个准备进行身份验证的证书和一个自定义端点行为来提供此信息，但我认为它还没有走到这一步！

更新的服务器配置

<system.serviceModel>
    <bindings>
        <wsHttpBinding>
            <binding name="CertificateWithTransport">
                <security mode="Transport">
                    <transport clientCredentialType="Certificate"/>
                </security>
            </binding>
        </wsHttpBinding>
    </bindings>
    <services>
        <service name="WCFServiceCertificate.Service1" behaviorConfiguration="credentialConfig">                
            <endpoint address="https://svnvmig02/Service1.svc" 
                        binding="wsHttpBinding" 
                        bindingConfiguration="CertificateWithTransport" 
                        contract="WCFServiceCertificate.IService1">
            </endpoint>
        </service>
    </services>
    <behaviors>
        <serviceBehaviors>
            <behavior name="credentialConfig">                   
                <serviceMetadata httpsGetEnabled="true" httpGetEnabled="false"/>                    
                <serviceDebug includeExceptionDetailInFaults="false"/>
            </behavior>
        </serviceBehaviors>
    </behaviors>
</system.serviceModel>

更新的客户端配置

<system.serviceModel>
    <bindings>
        <wsHttpBinding>
            <binding name="WSHttpBinding_IService1">
                <security mode="Transport">
                    <transport clientCredentialType="Certificate" />
                </security>
            </binding>
        </wsHttpBinding>
    </bindings>
    <client>
        <endpoint address="https://svnvmig02/Service1.svc" binding="wsHttpBinding" behaviorConfiguration="CustomBehavior"
            bindingConfiguration="WSHttpBinding_IService1" contract="ServiceReference1.IService1"
            name="WSHttpBinding_IService1">
        </endpoint>
    </client>
    <behaviors>
        <endpointBehaviors>
            <behavior name="CustomBehavior">
                <clientCredentials>
                    <clientCertificate findValue="svnvmig02" x509FindType="FindBySubjectName" storeLocation="LocalMachine" storeName="My"/>
                    <serviceCertificate>
                        <authentication certificateValidationMode="PeerTrust"/>
                    </serviceCertificate>
                </clientCredentials>
            </behavior>
        </endpointBehaviors>
    </behaviors>
</system.serviceModel>  

编辑： 可能值得一提的是，我的 VS 项目是 3.5，但 IIS6 正在运行 .net4

通过修改后的配置（感谢 Fabio ；）我现在可以 IE 浏览地址

我在网上找到的大多数页面都涉及自托管或 IIS7....我希望 IIS7 支持更好;)

任何帮助将不胜感激:)

Answer 1

您的配置包括：

https://svnvmig02:8091/Service1.svc

ssl 的正常端口是 443。

请求可能不会发送到您期望它发送到的站点。因此，您会收到意外的错误消息。

检查 IIS 日志以确保哪个站点正在接收请求。

Answer 2

我认为您的问题可能是您将 IIS 设置为：

匿名访问=关闭

我在几台服务器上使用传输安全性，所有 IIS6 的服务器都将该设置设置为打开，而不是关闭。这也对应于您提供的错误消息：

“不允许匿名身份验证”

如果没有关闭匿名访问，IIS 将要求用户输入用户名/密码，或者传递 Windows/Active Directory/kerberos 凭据。