Как настроить SSL в среде с балансировкой нагрузки?

Question

Вот наша текущая инфраструктура:

1. 2 веб-сервера за общим балансировщиком нагрузки
2. dns указывает на балансировщик нагрузки
3. веб-приложение создается в asp.net с помощью служб wcf

Мой вопрос заключается в том, как настроить SSL-сертификат для поддержки https-соединения.

Вот 2 идеи, которые у меня есть:

1. SSL-сертификат завершает работу в подсистеме балансировки нагрузки.безопасная / незащищенная связь за балансировщиком нагрузки будет перенаправлена на 2 разных порта.
   профессиональный: при горизонтальном масштабировании мне нужен только 1 сертификат
   минусы: Я должен проверить защищен или небезопасен, проверив, с какого порта поступает запрос .по-моему, это не совсем правильно
   
   WCF по замыслу не будет работать, когда IIS привязан к двум разным портам
   (в соответствии с этим)
   
   
2. Срок действия SSL-сертификата заканчивается на каждом из серверов?
   минусы: нужно добавить больше сертификатов для масштабирования по горизонтали

Спасибо

Answer 1

Обязательно завершите работу SSL в балансировщике нагрузки!!!Все, что находится за этим, НЕ должно быть видно снаружи.Почему бы двум портам для безопасного / небезопасного не работать просто отлично?

Answer 2

На самом деле вам вообще не нужно больше сертификатов.Поскольку внешне видимое полное доменное имя такое же, вы используете то же самое сертификат на каждой машине.

Это означает, что WCF (если вы его используете) будет работать.WCF с завершением SSL на внешнем балансировщике нагрузки является болезненным, если вы подписываете / шифруете на уровне сообщений, а не на транспортном уровне.

Answer 3

Скорее всего, вам не нужны два порта.Просто попросите виртуальный сервер SSL на балансировщике нагрузки добавить HTTP-заголовок к запросу и проверить это.Это то, что мы делаем с нашим Zeus ZXTM 5.1.

Answer 4

Ты этого не делаешь иметь чтобы получить сертификат для каждого сайта, существуют такие вещи, как сертификаты с подстановочными знаками.Но это должно было бы быть установлено на каждом сервере.(предполагая, что вы используете поддомены, если нет, то вы можете повторно использовать один и тот же сертификат на разных машинах)

Но я бы, вероятно, поместил сертификат на балансировщик нагрузки, если бы не просто ради удобства настройки.