Ponto de terminação SSL para o AWS EC2? ELB ou NginX ou ..?

Question

Eu tenho vários aplicativos da web Java independentes que atualmente são executados em portas e URLs diferentes. Gostaria de expor todos esses aplicativos por trás de uma única porta (443) e mapear as diferentes URLs públicas para a URL / porta interna individual. Eu estou pensando que os clientes acertam o Nginx como proxy reverso.

Também preciso que esses aplicativos sejam acessíveis apenas por meio do SSL e planejem tudo em um AWS VPC com o SSL sendo encerrado no AWS ELB antes de atingir o proxy reverso.

Isto parece ser uma pilha bastante padrão. Existe alguma razão para não fazer isso? Qualquer motivo eu deveria terminar o SSL no proxy reverso (Nginx ou outro) em vez do AWS ELB?

obrigado

    

Answer 1

Em algumas configurações, há aspectos de segurança a serem considerados ao decidir onde encerrar o SSL:

• Em qual nó você deseja confiar com seu certificado?
• Quanta comunicação acontecerá por trás do ponto de terminação SSL e, portanto, permanecerá desprotegida?

Você também precisa considerar aspectos técnicos sobre o que é possível e o que não é:

• Um balanceador de carga que não encerra o SSL não pode inserir cabeçalhos X-Forwarded-For. Assim, o back-end não conhecerá o endereço IP do cliente, a menos que você use o balanceamento de carga baseado em DSR.
• Um front-end que não encerra o SSL não pode despachar para diferentes backends dependendo do nome do domínio, a menos que o cliente suporte SNI.