Load Balancer e usando vários certificados SSL

Question

Aqui está nossa configuração de produção atual em um data center de terceiros:

• 2 servidores web tomcat LINUX / CentOS por trás de um balanceador de carga compartilhado  • As entradas de DNS apontam para o balanceador de carga  • Aplicativos da Web são escritos usando o Java 6, Spring 3, Hibernate 4.

Os técnicos de data center nos disseram que, para usar o balanceador de carga para encaminhar a porta 80 para 8080 e encaminhar 443 para 8443 (para que não tenhamos números de porta em nossas URLs), precisamos ter certificados SSL instalados Tanto o balanceador de carga E no servidor web tomcat. Mas isso afeta nosso desempenho / rendimento e limita o número de conexões SSL (ou seja, usuários) que conectamos a nossos aplicativos da Web simultaneamente.

Ter ambos os certificados SSL faz sentido, ou isso pode ser simplificado e apenas instalar o certificado SSL no balanceador de carga ou no servidor web tomcat, mas não em ambos. E qual deles seria o preferido?

Agradecemos antecipadamente - Marcar

    

Answer 1

Eu suspeito que essa limitação seja devido a uma limitação de seu produto ou ao gerenciamento desse produto. Não vejo qualquer razão técnica que exija isso em princípio.

No entanto, eu sugeriria que talvez seja melhor ter um servidor web (por exemplo, Apache, nginx) em frente ao contêiner Java em cada um dos servidores-membros. Isso lhe dá a capacidade de permitir que o servidor web faça mais do trabalho com relação a servir conteúdo estático e cache, etc.

Espero que, para uma implantação em que o SSL possa ser encerrado no balanceador de carga (ou seja, não seja um site de alta segurança onde você realmente deseja SSL para o servidor), o balanceador de carga precisaria ter um modo de injetando (e desinfetando) cabeçalhos HTTP para informar o servidor-membro se a requisição veio através de https, etc. Mas você precisa ter cuidado para que as pessoas não possam acessar diretamente os servidores-membros (eles podem injetar seus próprios cabeçalhos) .

Para a maioria das implantações em escala corporativa, encerrar o SSL em cada um dos servidores-membros é a coisa normal. Eu não tenho experiência em escalar isso.