4

Eu tenho um serviço WCF que consome um Web Service (desenvolvido em Java) onde preciso conectar com HTTPS usando um certificado. Até aí tudo funciona bem, porém, em ambiente produção meu cliente usa um proxy e não estou conseguindo estabelecer uma conexão SSL através do proxy.

Meu Binding do web.config do ambiente de desenvolvimento (que funciona) está assim:

<system.serviceModel>
<bindings>
  <customBinding>
    <binding name="DOCeManagerServiceSoap12Binding">
      <textMessageEncoding messageVersion="Soap12"/>
      <httpsTransport />
    </binding>
  </customBinding>
</bindings>
<client>
  <endpoint address="https://example.com.br:443/DFeWeb/services/DOCeManagerService.DOCeManagerServiceHttpsSoap12Endpoint/"
    behaviorConfiguration="TestServiceBehavior" binding="customBinding"
    bindingConfiguration="DOCeManagerServiceSoap12Binding" contract="DOCeManagerService.DOCeManagerServicePortType"
    name="DOCeManagerServiceHttpsSoap12Endpoint">
  </endpoint>
</client>
<behaviors>
  <endpointBehaviors>
    <behavior name="TestServiceBehavior">
      <clientCredentials>
        <clientCertificate findValue="01FE53"
                           storeName="TrustedPublisher"
                           storeLocation="LocalMachine"
                           x509FindType="FindBySerialNumber"/>
      </clientCredentials>
    </behavior>
  </endpointBehaviors>
  <serviceBehaviors>
    <behavior>
      <!-- To avoid disclosing metadata information, set the value below to false and remove the metadata endpoint above before deployment -->
      <serviceMetadata httpGetEnabled="true" />
      <!-- To receive exception details in faults for debugging purposes, set the value below to true.  Set to false before deployment to avoid disclosing exception information -->
      <serviceDebug includeExceptionDetailInFaults="true"/>
    </behavior>
  </serviceBehaviors>
</behaviors>
<serviceHostingEnvironment multipleSiteBindingsEnabled="true" />

No ambiente de produção tentei modificar apenas este ponto:

<httpsTransport bypassProxyOnLocal="true" proxyAddress="http://proxy.example.corp:8080" useDefaultWebProxy="false" >

Recebo o seguinte erro:

Could not establish trust relationship for the SSL/TLS secure channel with authority 'subdominio.example.com.br'. The underlying connection was closed: Could not establish trust relationship for the SSL/TLS secure channel. The remote certificate is invalid according to the validation procedure."

Já tentei inúmeras configurações mas nenhuma delas resolveu meu problema.

Update 1: Eu estava achando que o problema estava relacionado com o fato de que estou fazendo uma conexão SSL através de um proxy que não dá suporte à SSL, porém, se eu portar meu código para um console e informar o proxy consigo efetuar a conexão e consumir o método. Desta forma, não entendi como consegui conectar com SSL através de um proxy http pelo AppConsole e WCF não. Alguma ideia?

Update 2: Em recomendação dos colegas tentei rodar o serviço no IIS com meu próprio usuário (o mesmo que consegui conexão SSL através do AppConsole), mas não sei se fiz certo ou se falta algo, o serviço fica indisponível (Service Unavailable). Se alguém já fez isso e puder me auxiliar seria de bom proveito para eliminar a possibilidade.

Update 3: Atualizei a mensagem de erro que recebo quando tento conectar, adicionando o InnerException. Quando se diz "The remote certificate is invalid according to the validation procedure." refere-se ao servidor que estou consumindo o serviço?

7
  • Você experimentou trocar o endpoint para o endereço de produção? A partir da mensagem de erro, levo a crer que você esqueceu de trocar o example.com.
    – Cleiton
    Commented 3/02/2014 às 23:04
  • Obrigado pelo retorno Cleiton, mas eu eu já estou usando o endereço de produção, apenas alterei para postar aqui. No lugar do example.com estão os devidos domínios para o proxy e para o serviço externo. Abç
    – Eric
    Commented 4/02/2014 às 9:09
  • 1
    Eric tive um problema semelhante (sem SSL). Dava erro de proxy para a aplicação hospedada no IIS e funcionava direito numa desktop. No caso o problema era o usuário do AppPool que aplicação utilizava. Era um usuário com acesso diferente ao meu e por isso se comportava diferente de quando eu executava a app desktop. Você tem permissão se colocar diretamente seu usuário no AppPool e selecionar para ele carregar o profile do usuário pra testar? Commented 4/02/2014 às 12:39
  • Vitor obrigado pela resposta! Se entendi direito, eu preciso alterar o identity que meu AppPool roda, certo? Se sim, eu fui até properties do meu AppPool, na aba Identity escolhi a opção Configurable e coloquei o usuário que consegui com a aplicação console. Testei com dois usuários diferentes (um do domínio e outro local) mas em nenhum dos casos o serviço funcionou, recebo a mensagem Service Unavailable.Também tentei alterar entre as opções Predefined, Local Service obtive a mesma mensagem e com a opção Local System o serviço roda mas continuo sem conexão SSL
    – Eric
    Commented 4/02/2014 às 13:36
  • @VitorCanova me desculpe eu falei errado, quando eu coloco Local Service o serviço roda sim (faltava reiniciar o IIS) mas passo a receber a mensagem There was an error in serializing body of message synDOCeDownloadXmlRequest: 'Unable to generate a temporary class (result=1). error CS2001: Source file 'C:\WINDOWS\TEMP\qwg3osjc.0.cs' could not be found error CS2008: No inputs specified '. Please see InnerException for more details. O problema ainda persiste.
    – Eric
    Commented 4/02/2014 às 15:26

3 Respostas 3

3

Não é a primeira vez que vejo este tipo de situação acontecendo.

Muitas vezes esquecemos de planejar o ambiente onde a nossa aplicação irá rodar e deixamos passar despercebido este tipo comum de situação.

Já que não era previsto o proxy, a rede pode ser configurada para liberar o acesso da sua aplicação/máquina/porta para que não seja necessária a autenticação no proxy.

Se não for possível, você precisa configurar um tipo de autenticação programaticamente.

O seu config deve ficar mais ou menos assim:

    <bindings>
        <customBinding>
            <binding name="...2Soap12">

                <textMessageEncoding messageVersion="Soap12"/>
                <httpsTransport authenticationScheme="...." requireClientCertificate="???"/>
            </binding>
        </customBinding>
    </bindings>

E o cliente que irá realizar a chamada deve ser configurado com um tipo de autenticação apropriado ( plain, kerberos, etc ):

client.ClientCredentials = ???

Porém deixo o alerta que acertar todas estas configurações é trabalhoso na primeira tentativa e que por isso eu recomendo evitar de uma vez o proxy.

1
  • Realmente muitas vezes falta planejamento, talvez muitas vezes por falta de conhecimento da tecnologia usada(meu caso). Talvez por isso, eu não entendi muito bem a resposta, você disse que no cliente que irá fazer a chamada devo informar as credenciais, na verdade meu serviço é cliente do webservice externo, este por sua vez precisa de certificado e o acesso externo quem deve fornecer é o proxy que não me pede nenhuma autenticação, pois no Appconsole que fiz consegui conexão SSL apenas informando o proxyAddress="proxy.example.corp:8080" e useDefaultWebProxy="false". Obrigado.
    – Eric
    Commented 4/02/2014 às 17:43
2

Visto a mensagem de erro apresentada, uma resposta no stackoverflow.com que você deve atentar-se a algumas hipóteses entre elas a de que o novo computador não possua a cadeia de certificação que traz confiabilidade ao certificado que você está utilizando.

Caso não seja o caso, a resposta lista outros pontos que você pode verificar. Caso tenha dificuldade no inglês, sinalize.

1
  • 2
    Obrigado, foi lá que encontrei a resolução para meu problema!
    – Eric
    Commented 5/02/2014 às 18:33
1

Após muita pesquisa e ajuda dos colegas da comunidade, descobri que o problema era a falta de configuração do Winhttp (Microsoft Windows HTTP Services) que não utiliza a mesma configuração de proxy para usuários ou que está no IE, é como se fosse algo separado, somente para os serviços. Basicamente você precisa configurar sempre que um serviço se comunicar através do HTTP para acesso externo através do proxy.

Abaixo vou colocar os procedimentos que executei no ambiente (server 2003) através da ferramenta "proxy.cfg.exe"

  1. Executar o prompt de comando com direitos de administrador
  2. Para visualizar a configuração atual, digite apenas o nome da ferramenta proxycfg.exe.
  3. Para configurar um proxy, use o comando proxycfg.exe -p proxy.example.com:8080 "<local>". Se atente em substituir o proxy corretamente. O último parâmetro "<local>" é opcional e equivale onde o proxy deve ser ignorado.
  4. Reinicie o IIS e pronto!

Para o windows 2008 as coisas mudam um pouco, o proxycfg não existe mais e a configuração se dá pelo "netsh.exe"

  1. Execute o prompt de comando ou power shell com direitos de administrador
  2. Para visualizar a configuração atual, digite o comando netsl.exe Winhttp show proxy.
  3. Para configurar um proxy, use o comando netsh.exe Winhttp set proxy proxy.example.com:8080 "<local>".Se atente em substituir o proxy corretamente. O último parâmetro "<local>" é opcional e equivale onde o proxy deve ser ignorado.
  4. Reinicie o IIS e pronto!

Bem para o meu caso isso foi suficiente para conseguir eliminar a mensagem de erro:

Could not establish trust relationship for the SSL/TLS secure channel with authority 'subdominio.example.com.br'. The underlying connection was closed: Could not establish trust relationship for the SSL/TLS secure channel. The remote certificate is invalid according to the validation procedure."

No Stackoverflow.com há uma resposta passada pelo colega Raul Almeida que descreve possíveis problemas, inclusive menciona este que postei. Se você tem a mesma mensagem de erro e não conseguiu resolver com este procedimento que descrevi, recomendo dar uma olhada nessa resposta!

Fontes:
http://msdn.microsoft.com/en-us/library/windows/desktop/aa382925(v=vs.85).aspx
http://technet.microsoft.com/library/cc731131(WS.10).aspx
http://msdn.microsoft.com/en-us/library/windows/desktop/aa384069(v=vs.85).aspx

Espero ajudar alguém com isso!

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .