Диспетчер трафика Azure показывает онлайн для проверки TCP / 443, но ухудшен для проверки HTTPS / 443

Question

У меня есть диспетчер трафика Azure, настроенный для мониторинга некоторых служб HTTPS, доступных через публичные IP-адреса.

Когда я устанавливаю датчик работоспособности на TCP / 443, он работает нормально, и конечная точка показывает Online.

Когда я устанавливаю зонд HTTPS на порту 443 для /images/favicon.ico с соответствующим host: и user-agent: заголовки, которые я подтвердил, работают с curl-k через командную строку, и даже устанавливают разрешенные коды возврата HTTP до 100-599, зонд все еще показывает ухудшение.

Мне интересно, так ли это, потому что мы используем набор шифров SSL с высокой степенью защиты (оценка A + для проверки подлинности SSL) и разрешаем только протокол TLS 1.2+, а на мониторах менеджера трафика Azure произошел сбой подтверждения SSL?

Есть ли способ проверить это?

Шифры, доступные на нашем сайте:

• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) ECDH x25519 (экв. 3072 бита RSA) FS
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (0xc030) ECDH x25519 (экв. 3072 бита RSA) FS

И снова мы разрешаем только TLS 1.2.

Редактировать: Наш сервер обслуживает сертификат SNI. Предположительно, они «не поддерживаются», а не просто «не проверены». Это то, что нарушает здоровье HTTPS-зондов?

https://docs.microsoft.com/en-us/azure/traffic-manager/traffic-manager-faqs#can-i-monitor-https-endpoints

Answer 1

Я бы посоветовал вам захватить пакет в виртуальной машине, следить за диалогом TLS и проверять, где он выходит из строя. Также вы можете проверить, какая версия TLS использовалась TM для проверки вашей виртуальной машины.

Я думаю, что в TLS происходит сбой, и, следовательно, вы не получаете код состояния с сервера.