Como configurar SSL em um ambiente com balanceamento de carga?

Question

Aqui está a nossa infra-estrutura atual:

1. 2 servidores web atrás de um balanceador de carga compartilhada
2. dns está a apontar para o balanceador de carga
3. aplicativo web é feito em asp.net, com serviços WCF

A minha pergunta é como configurar o certificado SSL para apoiar https conexão.

Aqui estão 2 idéias que eu tenho:

1. termina certificado SSL no balanceador de carga. garantir / comunicação não segura por trás do balanceador de carga será encaminhada para 2 portas diferentes.
   pro: só precisa de 1 certificado como eu escalar horizontalmente
   contras: eu tenho que verificar seguro ou não seguro por verificação de qual porta o pedido é vindo de. não chega a sentir-me
   WCF por design não vai funcionar quando o IIS é binded 2 portas diferentes
   ( de acordo com este )
   
2. Certificado SSL termina em cada uma do servidor?
   contras: necessidade de adicionar mais certificados para escalar horizontalmente

graças

Answer 1

Definitivamente terminar SSL no balanceador de carga !!! Nada para trás que não deve ser visível fora. Por que não duas portas para o trabalho seguro / inseguro apenas multa?

Answer 2

Você não precisa realmente mais certificados de todo. Porque o FQDN visto externamente é o mesmo que você use o mesma certificado em cada máquina.

Isto significa que WCF (se você estiver usando ele) irá funcionar. WCF com a terminação SSL no balanceador de carga externa é doloroso se você está assinando / criptografando a um nível de mensagem em vez de um nível de transporte.

Answer 3

Você não precisa de duas portas, o mais provável. Basta ter o servidor virtual SSL no balanceador de carga adicionar um cabeçalho HTTP para a solicitação e verificar para isso. É o que fazemos com o nosso Zeus ZXTM 5.1.

Answer 4

Você não Have para obter um cert para cada local há coisas tais como certificados curinga. Mas teria que ser instalado em cada servidor. (Supondo que você está usando subdomínios, se não, então você pode reutilizar o mesmo cert através das máquinas)

Mas eu provavelmente colocar o cert no balanceador de carga se não apenas por uma questão de fácil configuração.