Guest User!

You are not Sophos Staff.

[7.921][NOTABUG][CLOSED] WAF not passing Host Headers

I turned WAF on, pointed to my websites running on IIS 7. IIS 7 is not getting the host headers and thus returning a HTTP 404 error.
Parents
  • Hi System-Z,

    this happens if you provided a host for the real server and not a DNS host. Try to create a DNS host for your ISS and use that in the WAF configuration of the real server.

    Regards
    mlenk
  • Ok, I can pass host headers just fine for http requests. So for example my website www. astaro. org and www. astarobeta. org go to the right website.

    The problem comes in if I want to run www. astaro. org as non ssl and www. astarobeta. org as ssl website. The headers are not passed correctly and you always get the same ssl website no matter what url you use to access it.

    This might be related to mantis ID 13948 as discussed in this thread https://community.sophos.com/products/unified-threat-management/astaroorg/f/102/t/69676

    Regards
    Bill.
  • Hi Billybob,
    The problem comes in if I want to run www. astaro. org as non ssl and www. astarobeta. org as ssl website. The headers are not passed correctly and you always get the same ssl website no matter what url you use to access it.

    Can you please elaborate that setup a bit? For each virtual server:

    • is the virtual server using SSL?
    • what real server is this virtual server mapped to?
    • is this real server using SSL?
    • which headers are not passed correctly? (What did you expect and what did you actually see?)

    Of course you can use nicknames to preserve anonymity.

    Regards
    mlenk
  • Ok, so I have two websites that I want to run. One would be purely ssl and would not serve any http pages and the other one would be non ssl and would only serve port 80 requests. 

    I have 2 real servers mapped to 2 virtual servers.

    1. www. astaro. org mapped to 192.168.0.2 both non ssl port 80 internal port 80 external.(screenshot 1)

    2 www. astarobeta .org mapped to 192.168.1.10 port 80 internal and port 443 external. (screenshot 2)

    Now, I can connect to both servers fine astarobeta. org via ssl and astaro. org via non ssl. Thats the good part. The bad part is that if try https:// astaro .org I still get astarobeta. org and if I try http:// astarobeta. org I get astaro .org. I should get error message/ timeout if I try for example astarobeta.org via non ssl since its not running on port 80 externally.

    Since these are two completely seperate websites even on seperate servers, I shouldn't be able to access them just because I added http to ssl and https to non ssl.

    Screenshots 1 and 2 virtual webservers astaro. org and astarobeta .org (ignore the disabled real webserver part, screenshot is just to show the configuration).

    Screenshot 3. Real webservers (again please ignore the disabled, I obviously can't run astaro. org and point it to my IP[;)])
Reply
  • Ok, so I have two websites that I want to run. One would be purely ssl and would not serve any http pages and the other one would be non ssl and would only serve port 80 requests. 

    I have 2 real servers mapped to 2 virtual servers.

    1. www. astaro. org mapped to 192.168.0.2 both non ssl port 80 internal port 80 external.(screenshot 1)

    2 www. astarobeta .org mapped to 192.168.1.10 port 80 internal and port 443 external. (screenshot 2)

    Now, I can connect to both servers fine astarobeta. org via ssl and astaro. org via non ssl. Thats the good part. The bad part is that if try https:// astaro .org I still get astarobeta. org and if I try http:// astarobeta. org I get astaro .org. I should get error message/ timeout if I try for example astarobeta.org via non ssl since its not running on port 80 externally.

    Since these are two completely seperate websites even on seperate servers, I shouldn't be able to access them just because I added http to ssl and https to non ssl.

    Screenshots 1 and 2 virtual webservers astaro. org and astarobeta .org (ignore the disabled real webserver part, screenshot is just to show the configuration).

    Screenshot 3. Real webservers (again please ignore the disabled, I obviously can't run astaro. org and point it to my IP[;)])
Children
No Data
Share Feedback
×

Submitted a Tech Support Case lately from the Support Portal?