Si vous avez 5 serveurs Web derrière un équilibreur de charge (tel que haproxy) et qu'ils servent du contenu pour le même domaine, avez-vous besoin de certificats SSL pour tous les serveurs ou pouvez-vous utiliser le même certificat sur chaque serveur?
Je sais que vous pouvez mettre toutes les demandes SSL sur un serveur spécifique, mais cela nécessite des informations de session distribuées et en espérant ne pas en arriver là.
Réponses:
Si vous avez 5 serveurs Web derrière un équilibreur de charge (...), avez-vous besoin de certificats SSL pour tous les serveurs,
Ça dépend.
Si vous effectuez votre équilibrage de charge sur la couche TCP ou IP (couche OSI 4/3, également appelée L4, L3), alors oui, le certificat SSL devra être installé sur tous les serveurs HTTP.
Si vous équilibrez la charge sur la couche HTTPS (L7), vous installeriez généralement le certificat sur l’équilibreur de charge uniquement et utilisiez un protocole HTTP non chiffré sur le réseau local entre l’équilibreur de charge et les serveurs Web (pour de meilleures performances sur les serveurs Web). serveurs web).
Si vous avez une grande installation, alors vous faites peut-être Internet -> équilibrage de charge L3 -> couche de concentrateurs SSL L7 -> équilibreurs de charge -> couche de serveurs d’applications HTTP L7 ...
Willy Tarreau, l'auteur de HAProxy, a un très bon aperçu des méthodes canoniques d'équilibrage de charge HTTP / HTTPS .
Si vous installez un certificat sur chaque serveur, veillez à obtenir un certificat qui le prend en charge. Normalement, les certificats peuvent être installés sur plusieurs serveurs, à condition que tous les serveurs servent du trafic pour un seul nom de domaine pleinement qualifié. Mais vérifiez ce que vous achetez, les émetteurs de certificats peuvent avoir un portefeuille de produits déroutant ...
Vous devriez pouvoir utiliser le même certificat sur chaque serveur. Si votre site Web est www.gathright.com, vous devriez pouvoir acheter un certificat pour ce nom de domaine complet. Ensuite, vous l'installez sur chacun de vos 5 serveurs derrière l'équilibreur.
Vous pouvez également obtenir un certificat distinct pour chaque serveur Web, mais inclure "www.gathright.com" en tant que "Autre nom du sujet", ce qui signifie que chacun des 5 certificats sera valide pour SSL dans ce nom de domaine complet, ainsi que SSL. vers les noms de domaine complets du serveur.
OUI , vous pouvez utiliser le même certificat et la clé privée associée sur tous vos serveurs, s’ils se trouvent derrière un équilibreur de charge ou un proxy inverse, et s’ils servent tous du contenu pour le même domaine.
Les certificats, lorsqu'ils sont signés par une autorité de certification, indiquent que celle-ci a vérifié le nom indiqué sur le certificat. Pour les certificats de sites Web, cela signifie le nom de domaine du site Web. Votre navigateur s’attend à ce que le serveur avec lequel il discute, s’il parle via HTTPS, présente un certificat portant le même nom que le nom de domaine avec lequel le navigateur pense qu’il parle. (Par exemple, VeriSign ne signera probablement pas le certificat de Hacker Joe pour bankofamerica.com. Ainsi, même si Hacker Joe parvient à intercepter le trafic entre vous et bankofamerica.com, Hacker Joe n'aura pas de certificat signé pour bankofamerica.com et votre navigateur. mettra en place de grands drapeaux d'avertissement rouges partout.)
L'important est que le nom du certificat corresponde au nom de domaine avec lequel le navigateur pense qu'il parle. Vous pouvez utiliser le même certificat (avec la clé privée associée) portant le nom correct sur plusieurs serveurs Web d'un cluster Web, tant qu'ils se trouvent derrière un équilibreur de charge.
Vous pouvez également utiliser un équilibreur de charge se terminant par SSL, auquel cas vous utiliseriez le certificat (avec la clé privée associée) sur l'équilibreur de charge, et les serveurs Web n'auraient pas besoin de certificats, car ils n'auraient rien à voir avec le SSL.
Notre configuration a très bien fonctionné:
https trafic
|
pound
|
http traffic
|
haproxy
|
http traffic
|
web server 1 ... web server n
De cette façon, la livre décrypte le trafic, à partir de là, tout est en http directe. Avantages: moins de configuration sur les serveurs Web, un outil pour chaque travail. Vous pouvez maximiser le nombre de processeurs sur la machine, et garder les serveurs Web "normaux". Vous devez obtenir au moins deux de chaque (livre, haproxy, serveurs Web), si la disponibilité est importante.