Executando conexões HTTP e HTTPS para um único domínio (digamos, www.example.com) por meio de um endpoint SSL do Cisco ACE

Question

Minha configuração de aplicativo da web tem um balanceamento de carga do Cisco ACE em um farm de servidores e também quero usar a ACE como um ponto de extremidade SSL. Para que isso funcione, o arquiteto de rede criou um design no qual todas as páginas seguras devem ser atendidas a partir de secure.my-domain.com, enquanto páginas não seguras são fornecidas a partir de www.my-domain.com. A razão para isto é aparentemente que a configuração do Cisco ACE para aceitar solicitações HTTPS na porta 443 para um IP público específico impede a aceitação simultânea de solicitações HTTP na porta 80 para o mesmo IP. Embora eu não seja um especialista em rede (ou Cisco), isso parece estar errado, pois impediria que qualquer site usando o Cisco ACE servisse páginas em http://www.my-domain.com e https://www.my-domain.com simultaneamente. Nesta situação, minhas perguntas são:

1. Esta é realmente uma limitação do Cisco ACE quando usado como um endpoint SSL?
2. Se não, então posso supor que podemos configurar a ACE para aceitar conexões para um determinado IP nas portas 80 e 443 e funcionar como um ponto de extremidade SSL para as solicitações recebidas em 443? Links para documentação apropriada são bem vindos aqui.
3. Assumindo a configuração da pergunta anterior, posso redirecionar os dois conjuntos de solicitações para o mesmo farm de servidores na mesma porta?

Answer 1

Isso não é verdade. Você pode configurar um balanceamento de carga HTTP e HTTPS para o mesmo VIP.

Exemplo de configuração:

rserver host web-01
  ip address 10.x.x.x
  probe SIMPLE-ICMP-PROBE
  inservice
rserver host web-02
  ip address 10.x.x.x
  probe SIMPLE-ICMP-PROBE
  inservice


serverfarm host 055-SFARM
  predictor leastconns slowstart 120
  probe SIMPLE-HTTP-PROBE
  rserver web-01 80
    inservice
  rserver web-02 80
    inservice


class-map match-all VIP:443
  10 match virtual-address 10.1.1.2 tcp eq https
class-map match-all VIP:80
  10 match virtual-address 10.1.1.2 tcp eq www


policy-map type loadbalance first-match VIP:443-POLICY
  class class-default
    serverfarm 055-SFARM
policy-map type loadbalance first-match VIP:80-POLICY
  class class-default
    serverfarm 055-SFARM


policy-map multi-match VIP-SPOLICY
  class VIP:80
    loadbalance vip inservice
    loadbalance policy VIP:80-POLICY
    loadbalance vip icmp-reply active
  class VIP:443
    loadbalance vip inservice
    loadbalance policy VIP:443-POLICY
    loadbalance vip icmp-reply active
    ssl-proxy server SSL-PROXY-WITH-CERT