Налаштування веб-сервера IIS

Більшість користувачів при роботі в тонкому або веб-клієнті використовують переважно публікацію інформаційних баз на підставі протоколу HTTP. З одного боку — це простий і швидкий спосіб дати доступ до інформаційної бази користувачу, який не має дистрибутива тонкого клієнта, і він може працювати лише у веб-клієнті або у користувача немає прямого доступу до сервера "1С:Підприємство". З іншого боку, інформаційні бази, опубліковані таким чином, категорично не рекомендуються публікувати в глобальній мережі Інтернет, оскільки в такому випадку використовується незахищений канал, дані яким можуть бути перехоплені зловмисниками. Наприклад, поширені види атак це:

Вирішенням цих проблем є використання розширення протоколу HTTP і в цій статті розглянуто публікації інформаційних баз з використанням протоколу з шифруванням (HTTPS) для веб-сервера IIS.

Увага! У статті не розглядається випуск та отримання сертифіката перевірених постачальників. Цей пункт має бути виконаний самостійно на підставі переваг вибору провайдера послуг. У статті передбачається, що, пропускаючи крок випуску самопідписаних сертифікатів, у користувача або адміністратора він є в наявності і буде підставлений в настроювальні файли, замість зазначених у статті самопідписаних сертифікатів.

План робіт:

1. Увімкнення компонентів веб-сервера.
   1. Windows 10
   2. Windows Server 2012 R2, 2016 та 2019.

   1. Увімкнення компонентів веб-сервера

   За промовчанням в операційному середовищі Windows компоненти веб-сервера не встановлені. Залежно від версії, установка може несуттєво відрізнятися.Ми будемо розглядати два варіанти – це поширений дистрибутив Windows 10, якщо планується використовувати для пробного включення шифрування протоколу та Windows Server 2016/2018, якщо вже планується безпосереднє розгортання публікації у продуктивній зоні.

   1.1. Windows 10

   Увімкнення компонентів веб-сервера IIS в операційній системі Windows 10 виконується досить легко. Для початку потрібно відкрити розділ "Програми та компоненти" ("Programs and Features") на панелі керування (Control panel). Зробити це можна декількома способами:

   • Натиснути клавіші Win + R і у вікні ввести "appwiz.cpl" і натиснути ОК.
   • Відкрити панель керування (Control panel) та вибрати пункт меню Програми – Програми та компоненти (Programs – Programs and features).

   У вікні "Програми та компоненти" ("Programs and Features") натисніть кнопку "Увімкнення та вимкнення компонентів Windows" ("Turn Windows features on or off").

   Коли відкриється вікно "Компоненти Windows" ("Windows features"), в ньому необхідно буде проставити прапорці для наступних елементів:

   • Служби IIS
     • Служби Інтернету
       • Компоненти розробки додатків
         • Розширення ISAPI
         • Фільтри ISAPI
         • Консоль управління IIS

         Після цього натискайте кнопку "OK" і дочекайтеся завершення виконання операції. Після того, як включення компонента буде виконано, можна переходити до пункту "2. Публікація інформаційної бази".

         1.2 Windows Server 2012 R2, 2016 та 2019

         Налаштування компонентів для Windows Server 2012 R2, Windows Server 2016 та Windows Server 2019 однакові і всі налаштування виконуються в диспетчері серверів (Server Manager).

         Відкрийте диспетчер серверів (Server Manager) і натисніть Управління – Додати ролі та компоненти (Manage – Add Roles and Features).

         У відповідь на натискання відкриється вікно майстра додавання ролей та компонентів (Add Roles and Features).

         У цьому вікні натисніть двічі "Далі" ("Next"), поки майстер не переключиться на сторінку ролей сервера (Server Roles).

         У вкладці ролі сервера (Server Roles) встановіть прапорець Web Server IIS. Так як ця роль залежить від іншої ролі ([Tools] IIS Management Console), буде запропоновано встановити її додатково. Це можна зробити за допомогою натискання кнопки "Додати компоненти" (Add Features) у вікні. Після чого натискаємо кнопку "Далі" ("Next"), поки майстер не дійде до вкладки "Роль веб-сервера IIS" ("Web Server Role IIS"). На цій вкладці натисніть кнопку "Далі" ("Next") і потрапите на вкладку "Служба ролей" ("Role Services"). У вкладці потрібно знайти пункт "Application Development" та вибрати в ньому за допомогою прапорців пункти "ISAPI Extensions" та "ISAPI Filters". Після завершення встановлення прапорців натисніть "Далі" ("Next") і "Встановити" ("Install").

         На цьому налаштування веб-сервера завершено. Можна перейти до налаштувань сертифікатів.

         2. Випуск самопідписаного сертифіката

         Випуск самопідписаного сертифіката для веб-сервера IIS є максимально простим.

         Для реальних систем не рекомендується використовувати самопідписаний сертифікат.

         Щоб розпочати процедуру випуску, відкрийте вікно Менеджера IIS (Internet Information Services (IIS) Manager) і виділіть сервер у списку Підключень (Connections) . Після цього натисніть посилання "Сертифікати сервера" ("Server Certificates") .

         Відкриється вікно доступних сертифікатів сервера (Server Certificates), в якому потрібно натиснути "Створити самозавірений сертифікат..." ("Create Self-Signed Certificate...").

         У вікні майстра створення самопідписаного сертифіката залишається вказати лише довільну назву сертифіката. У більшості випадків, щоб уникнути плутанини, краще явно вказувати як значення "Повне ім'я сертифіката" ("Specify a friendly name for the certificate") адресу сервера, на якому розташований сервер IIS. Як тільки ім'я сертифіката буде задано, натискайте кнопку OK і переходьте до пункту прив'язки сертифіката.

         3. Прив'язка сертифіката

         Передбачається, що сертифікат отримано та додано до списку сертифікатів сервера. Якщо сертифікат отримано за допомогою поширеного центру сертифікації, то його потрібно попередньо імпортувати у вікні "Сертифікати сервера" ("Server Certificates").

         Як тільки сертифікат з'явиться у списку, переходимо безпосередньо до його прив'язки до публікації сайту. Для цього виділяємо "Default Web Site" та у вікні "Дії" ("Actions") натискаємо на пункт "Прив'язки…" ("Binding…").

         У цьому вікні можна побачити, що публікація працює тільки на порту 80, який відноситься до незахищеного протоколу HTTP. Щоб розширити його, натисніть кнопку Додати… (Add…) ліворуч від списку прив'язок сайту і у вікні виберіть Тип (Type) як значення "https". Завершенням налаштування буде вибір раніше імпортованого сертифіката у списку "SSL-сертифікат" ("SSL certificate"). Натискаємо кнопку OK та закриваємо майстер прив'язок сайту.

         Можна переходити до публікації інформаційної та перевірки її працездатності.

         4. Перевірка публікації

         Для публікації інформаційної бази потрібно відкрити конфігуратор конкретної бази від імені адміністратора та перейти до пункту меню "Адміністрування". Після цього вибрати "Публікація інформаційної бази".

         У вікні публікації вказати ім'я публікації та за бажанням визначити каталог, де будуть знаходитись налаштування публікації. Його також можна залишити за замовчуванням.

         Після цього потрібно натиснути кнопку "Опублікувати" та дочекатися закінчення операції.

         Для перевірки коректної роботи потрібно відкрити сторінку в браузері та перейти за посиланням, яке складається з двох частин:

         • Ім'я сервера (наприклад, server1)
         • Ім'я публікації бази (яке було зазначено у вікні налаштування публікації)

         Для таких параметрів посилання матиме вигляд:

         Якщо все гаразд, то відкриється сторінка з вашою інформаційною базою.

         Доступно оновлення, яке дозволяє деяким обробникам IIS 7.0 або IIS 7.5 обробляти запити з URL-адресами, які не закінчуються точкою

         У цій статті описується оновлення, яке дозволяє певних служб (IIS) 7.0 або IIS 7.5 обробників для обробки запитів в URL-адресах яких не закінчуватися точкою. Зокрема, ці обробники зіставляються із «*.» запит шляху. В даний час обробник, який зіставлений "*." шлях обробляє лише запити, наприкінці URL-адреси запиту. Наприклад обробник обробляє лише запити, нагадувати наступну URL-адресу, URL-адреси:

         http://www.example.com/ExampleSite/ExampleFile.Після встановлення цього оновлення, обробники, які зіставляються з «*.» запит шляху може обробляти запити, URL-адреси, закінчуватися точкою та запити, URL-адреси не закінчуватись точкою. Наприклад, обробник може тепер обробляти запити, схожі на такі URL-адреси:

         http://www.example.com/ExampleSite/ExampleFile.Після застосування цього виправлення додатків ASP.NET 4 може обробляти запити для URL-адрес без розширень.Таким чином виконуватиметься керований HttpModules, виконати перед виконанням обробника. У деяких випадках HttpModules може повертати помилки для URL-адрес без розширень. Наприклад, HttpModule, який був написаний очікувати тільки запити .aspx може тепер повертають помилки при спробі доступу до HttpContext.Session властивості. Можна вимкнути функцію URL-адреси без розширень для вразливих програм ASP.NET, додавши наступний код у файл web.config програми:

         Додаткова інформація

         Відомості про оновлення

         Отримання оновлення

         Ці оновлення можна завантажити з Microsoft Windows Update або на веб-сайті центру завантаження Windows.

         Оновлення веб-сайту Windows

         Центр завантаження

         У Центрі завантаження корпорації Майкрософт можна завантажити такі файли:

         Оновлення URL-адреси веб-застосунку та прив'язок IIS для SharePoint Server за підпискою

         У SharePoint Server за передплатою можна легко змінювати прив'язки IIS веб-програми SharePoint за допомогою PowerShell або центру адміністрування.

         Ця функція доступна лише користувачам, які є членами локальної групи адміністраторів на сервері.

         Ця стаття містить докладні рекомендації щодо зміни прив'язок IIS веб-програми.

         Зміна прив'язок веб-застосунків за допомогою центру адміністрування

         Щоб змінити веб-додаток і встановити порт, URL-адресу, заголовок вузла SSL-сертифіката, зробіть таке:

         1. Перейдіть до центр адміністрування> SharePointУправління програмами>Керування веб-додатками.
         2. Виберіть веб-програму та натисніть кнопку Змінити.
         3. У діалоговому вікні Зміна зони веб-програми клацніть зону, що містить прив'язку IIS, яку потрібно оновити.
         4. У розділі Веб-сайт IIS можна змінити параметри Порт і Заголовок вузла .
         5. У розділі Конфігурація безпеки можна змінити параметри Використання SSL, Сертифікат сервера, Вказівка ​​імені сервера і Дозволити застаріле шифрування .
         6. У розділі Загальнодоступна URL-адреса можна змінити загальнодоступну URL-адресу для цієї зони.
         7. Натисніть кнопку Зберегти, щоб зберегти зміни.

         Змінення прив'язок веб-застосунків за допомогою PowerShell

         Щоб змінити прив'язки IIS веб-програми за допомогою PowerShell, використовуйте командлет Set-SPWebApplication . Ця функція підтримується у всіх зонах веб-додатків.

         Наприклад, можна виконати наступну команду PowerShell, щоб змінити веб-додаток SharePoint на HTTP-порті 80, щоб замість цього використовувати прив'язку заголовка вузла для SSL-порту 443:

         Set-SPWebApplication -Identity http://servername -Zone Default -Port 443 -SecureSocketsLayer -HostHeader sharepoint.contoso.com -Url https://sharepoint.contoso.com