Loadbalancer redirecionando solicitações https para http

1

Nosso administrador de sistemas configurou um balanceador de carga que manipula todas as solicitações HTTPS e as envia por proxy para o servidor como HTTP. O servidor não tem HTTPS, então a conexão entre o LB e o servidor não é segura, mas a conexão com o LB é. Eu nunca tinha visto algo assim e não tenho certeza se é o jeito certo de fazer isso. O servidor real não está disponível publicamente, apenas através do balanceador de carga.

  • Isso é suficiente para torná-lo seguro? Alguém poderia ignorar o balanceador de carga?

  • Esta é uma técnica padrão?

por algiogia 11.08.2016 / 10:23

2 respostas

3

Normalmente, isso é chamado de "descarregamento de SSL" e é bastante comum em configurações maiores. Ele reduz a carga nos servidores back-end, já que muitos loadbalancers de hardware têm chips criptográficos especiais que podem lidar com muito tráfego SSL em alta velocidade. Outro benefício é que você precisa armazenar o certificado SSL e sua chave privada em apenas um lugar, e só precisará substituí-lo quando o certificado estiver prestes a expirar.

Um requisito para torná-lo seguro é que os nós que estão sendo balanceados não possam ser acessados de outra maneira. Normalmente, esses nós são conectados apenas em endereços IP privados que não são roteados nem mesmo dentro da rede, portanto, há apenas uma rede de camada 2 (ethernet) entre os servidores e o balanceador de carga e nenhuma outra maneira de se conectar aos servidores.

Em alguns casos (por exemplo, hospedagem de configurações compatíveis com PCI), isso não será suficiente; portanto, muitas vezes, a nova criptografia SSL é usada lá. Nesse caso, a conexão entre o balanceador de carga e os servidores é também via SSL. O balanceador de carga descriptografa o tráfego proveniente de clientes, faz sua mágica (por exemplo, escolhe o nó direito para o tráfego de proxy, faz alguns truques de reescrita etc.) e, em seguida, criptografa-o novamente na conexão com o servidor de backend.

    
por 11.08.2016 / 11:49
0

Se a rede entre o balanceador de carga e os servidores internos estiver protegida contra espionagem, não faz diferença se http ou https forem usados entre eles.

    
por 11.08.2016 / 11:25