我们是一个多租户服务,并在我们的负载均衡器(HAProxy + Apache for SSL终止)中终止我们的SSL,由于专用IP需求,这已经引起了越来越大的痛苦。 但时代已经改变,我们正在考虑转向SNI,所以我希望2015年的教育意见能够把它作为我们的标准。
我将概述我们的假设:
我认为现在SNI基本上是全球支持的吗?
…和…
除此之外,我还应该考虑哪些情况会影响支持?
最后…
既然HAProxy 1.5直接支持SSL终止,那么直接与SNI有关的经验是否会影响到我们推出这项服务的能力呢?
我认为现在SNI基本上是全球支持的吗?
如果你考虑浏览器 – 是的。
如果你必须处理其他types的应用程序 – 不是真的:
我认为现在SNI基本上是全球支持的吗?
本质上,是的 – 尽pipe如果需要SNI,您可能会碰到一些边缘案例用户,他们会抱怨破碎。 如果你有能力告诉这些人“使用这个十年的浏览器,请”为你服务,那么你就定了。
除此之外,我还应该考虑哪些情况会影响支持?
浏览器/客户端操作系统的支持是最重要的,尽pipe我可以想象使用SSL终止代理的公司networking的一些其他有趣的问题,不支持通过TLS握手的SNI部分,这也会打破SNI。
既然HAProxy 1.5直接支持SSL终止,那么直接与SNI有关的经验是否会影响到我们推出这项服务的能力呢?
我不能直接说出HAProxy的警告 – 我们正在使用它的SSLterminal,但不是SNI的顶部。