Devo usar um terminador SSL ou apenas haproxy?

Question

Estou tentando descobrir como configurar minha arquitetura para um aplicativo socket.io que exigirá conexões https e wss. Eu encontrei muitos tutoriais na web, sugerindo que você use algo como stud ou stunnel na frente do haproxy, que encaminha seu tráfego não criptografado para seu aplicativo. Se eu seguisse esse caminho, é sugerido que o haproxy e o terminador ssl estejam em instâncias separadas, ou será correto se eles estiverem na mesma instância do servidor EC2?

Se eu não quiser usar um terminador SSL separado, posso usar o haproxy para finalizar o ssl? Ou, em vez disso, seria possível fazer proxy dessas conexões https e wss para meu aplicativo e fazer com que o aplicativo do nó terminasse o próprio SSL?

    

Answer 1

A última vez que verifiquei, o haproxy ainda não tinha terminação SSL como recurso. É por isso que você está vendo recomendações para colocar o stunnel na frente dele como uma maneira de fornecer apenas esse recurso.

Na minha opinião, geralmente é bom hospedar stunnel e haproxy no mesmo sistema. Mesmo microinstâncias EC2 podem gerar uma boa parte do tráfego SSL, e as instâncias maiores são ainda melhores. Você pode encontrar alguns problemas em alta escala onde o número de soquetes que precisam ser abertos para encaminhar todo esse tráfego pode ter limites, mas esse é um bom problema.

Eu sei de um balanceador de carga habilitado para SSL, e isso é Libra . Não é tão característico quanto o HAproxy, mas se tudo o que você precisa é de terminação SSL e alguns servidores back-end, é bom o suficiente. No entanto, é provável que você tenha que criar seus próprios pacotes para que isso possa ser descartado.

    

Answer 2

Experimente haproxy-1.5-dev12 , ele suporta o descarregamento de SSL e facilitará sua vida : -)