Um certificado SSL para instâncias de balanceamento de carga da amazon

Question

Como o título diz, quero ter um certificado SSL para várias instâncias no Amazon AWS. As várias instâncias estão conectadas à internet por meio de um balanceador de carga. Para criar um certificado SSL e usá-lo com o balanceador de carga, eu fundei este artigo: link .

Eu li o artigo e, se bem entendi, o usuário se conecta ao balanceador de carga que detém o certificado. Em seguida, o balanceador de carga descriptografa o tráfego e o envia para a instância apropriada. Me corrija se eu estiver errado!

Não consigo me lembrar do site que o li, mas estava dizendo que você nunca pode depender do endereço IP do balanceador de carga (porque pode variar). Se isso é verdade, como o certificado pode estar no balanceador de carga? Um certificado SSL depende do endereço IP do host também, certo (além do nome do host)? Mais uma vez, corrija-me se eu estiver errado!

Então ou eu não me lembro da última parte do jeito certo ou a Amazon está fazendo algo realmente engraçado aqui? Qualquer ajuda é apreciada!

P.S. Não estou perguntando sobre como configurar um balanceador de carga ou como instalar um certificado SSL no balanceador de carga.

    

Answer 1

An SSL certificate depends on the IP address of host too, right (besides the hostname)?

Não , somente o Nome do host ("Nome DNS") é relevante para um certificado X.509 e a Camada de aplicativo. Tal certificado tem um campo chamado Common Name (CN) que contém o nome de domínio (que também é aprovado na barra de endereço do seu navegador). O navegador valida o certificado com a cadeia de certificados fornecida e seu armazenamento local de CAs confiáveis e compara o Nome Comum com o domínio ao qual o navegador está conectado. Se tudo ¹ estiver correto, a conexão é segura.

O endereço IP é relevante para a Camada de Transporte estabelecer a conexão do seu PC para o destino (domínio resolvido para IP). Com base nessa conexão, a conexão TLS, incluindo o certificado, será estabelecida.

Assim, todos os balanceadores de carga possíveis, onde a conexão TLS termina, precisam conter o certificado (e a chave privada correspondente).

¹ São feitas mais verificações, mas estas são as mais relevantes para a sua pergunta.