<div dir="ltr"><div>Hopefully this reply explains where we're at better (my head is getting muddled, probably why what I wrote last time left some things not clearly explained)...</div><div><span><br></span></div><div>The old external URL for the server was <a href="https://heritage.srv.hull-">https://heritage.srv.hull-</a><wbr><a href="http://college.ac.uk">college.ac.uk</a> - it is now <a href="https://heritage.hull-college.ac.uk">https://heritage.hull-college.ac.uk</a></div><div><br></div><div>Sophos UTM is our a new reverse proxy - it's the reason we have to change the name (Forefront TMG is the one we're phasing out - old and unsupported). Names given in case anyone happens to have direct experience of UTM as a reverse proxy.</div><div><br></div><div>We've made some changes and have the following results...</div><div><br></div><div>The HTTPS certificate is now straight on IIS on the server running the SP. So now all traffic is secure to it (including internally).</div><div>Triggering a shibboleth login page, with my VM hosts file pointing directly at the internal server for <a href="http://heritage.hull-college.ac.uk">heritage.hull-college.ac.uk</a>, it works as it should (I trigger a login attempt, login, then get taken to the URL I asked for, hurrah).</div><div><br></div><div>But if I point my hosts file at UTM, I get this error from shibboleth IdP now (when I've tried triggering a login attempt):</div><div><br></div><div>ERROR - Unable to Respond</div><div>The login service was unable to identify a compatible way to respond to the requested resource. This is generally to due to a misconfiguration on the part of the resource and should be reported.</div><div><span><br></span></div><div class="gmail_extra">And I get the following error in the log file:</div><div class="gmail_extra"><br></div><div class="gmail_extra">2018-03-29 13:34:19,210 - DEBUG [org.opensaml.saml.common.binding.impl.DefaultEndpointResolver:126] - Endpoint Resolver org.opensaml.saml.common.binding.impl.DefaultEndpointResolver: Neither candidate endpoint location '<a href="http://heritage.hull-college.ac.uk/Shibboleth.sso/SAML2/POST">http://heritage.hull-college.ac.uk/Shibboleth.sso/SAML2/POST</a>' nor response location 'null' matched '<a href="https://heritage.hull-college.ac.uk/Shibboleth.sso/SAML2/POST">https://heritage.hull-college.ac.uk/Shibboleth.sso/SAML2/POST</a>' <span></span></div><div class="gmail_extra"><br></div><div class="gmail_extra">I wonder if this mismatch is the cause of the error displayed. I've attached the metadata I created (from the IdP - with key removed obviously), which has the correct URLs for the various bits.</div><div class="gmail_extra"><br></div><div class="gmail_extra">How can I get shibboleth to realise it is on https on the SP side, to avoid the mismatch error above? Looking at the RequestMap again, I can't see a way of getting it to be explicitly https - or from the documentation.</div><div class="gmail_extra">I have made the following change in the InProcess section for IIS:</div><div class="gmail_extra"><Site id="1" name="<a href="http://heritage.hull-college.ac.uk">heritage.hull-college.ac.uk</a>" scheme="https" port="443"/><span></span></div><div class="gmail_extra">But this didn't work (didn't make things any worse, but didn't help).<br></div><div class="gmail_extra"><br></div><div class="gmail_extra"><br></div><div class="gmail_extra"><br></div><div class="gmail_extra">Dave<br></div><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Mar 28, 2018 at 8:45 PM, Peter Schober <span dir="ltr"><<a href="mailto:peter.schober@univie.ac.at" target="_blank">peter.schober@univie.ac.at</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;padding-left:1ex;border-left-color:rgb(204,204,204);border-left-width:1px;border-left-style:solid">* HCUK eLearning <<a href="mailto:daveperryatwork@gmail.com" target="_blank">daveperryatwork@gmail.com</a>> [2018-03-28 17:05]:<br>
<span>> An SP-protected site is changing its URL (it had .srv in the URL<br>
<br>
</span>What "the URL"? In protocol endpoints? In the entityID?<br>
<span><br>
> It now works fine on http, if I point my hosts file to the test<br>
> server. The server does not have our external wildcard https<br>
> certificate on it - it hasn't a clue that Sophos UTM (our reverse<br>
> proxy) is doing this.<br>
<br>
</span>No idea what that means.<br>
<span><br>
> UTM (v9), which has been setup to receive traffic from that URL to<br>
> the same server running the SP, causes an error when I've logged<br>
> into Shibboleth successfully:<br>
<br>
</span>No idea what that means.<br>
<br>
> opensaml::BindingException at (<br>
<span>> <a href="http://heritage.hull-college.ac.uk/Shibboleth.sso/SAML2/POST" target="_blank" rel="noreferrer">http://heritage.hull-college.a<wbr>c.uk/Shibboleth.sso/SAML2/POST</a><wbr>)<br>
> Invalid HTTP method (GET).<br>
<br>
</span>That couldn't be any clearer, though.<br>
<span><br>
> Equally, why is it mentioning http:// in the above error when it<br>
> should be using https from the outside world? It not knowing about<br>
> the reverse proxy may be involved.<br>
><br>
> Any advice on how to keep all traffic HTTPs appreciated (extra<br>
> detail, it's an IIS set and I've only set shibd to listen to the<br>
> Default web site, as this is the one that UTM points to from the<br>
> outside world).<br>
<br>
</span>The Shib SP provides/needs extra configuration to make virtualisation<br>
work with IIS, AFAIR. Check the documentation for the RequestMap.<br>
<br>
If you're actually asking "how to keep all traffic HTTPS" then that's<br>
your answer: You run the web server with HTTPS-only, and the proxy<br>
acts as both an HTTP(S) web server and as an HTTPS client.<br>
Whether that's necessary depends on the network shared between your<br>
web server and the reverse proxy (assuming the web server isn't<br>
accessible directly).<br>
<span class="gmail-m_1215965655054555829HOEnZb"><font color="#888888"><br>
-peter<br>
--<br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" target="_blank" rel="noreferrer">https://wiki.shibboleth.net/co<wbr>nfluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.n<wbr>et</a><br>
</font></span></blockquote></div><br></div></div>