来自负载平衡器的代理SSL

设置负载平衡器的服务器pipe理员问我是否想要:

  1. 主机SSL直接在Web服务器上进行authentication
  2. 或者来自负载平衡器的代理SSL

我只做了以前的实现。 有人能比较这些吗?

如果我有一个Web应用程序需要HTTPS的某些页面,它会受到这种select的影响?

  1. 您的Web服务器必须执行所有SSL / TLS处理。 这意味着更多的Web服务器负载,但您完全控制证书和端到端的安全性。

  2. 您的Web服务器可以像普通的网页一样提供所有服务,卸载SSL / TLS处理。 Web服务器上的负载大大降低,但是您不再控制证书,并且破坏了端到端的安全性。

最后,如果您信任负载平衡器的安全性以及负载平衡器和Web服务器之间的networking,则最终归结于此。 如果没有,不要打扰。 请注意,如果您正在运行信用卡交易或类似的事情,有一些相当严格的规则,关于何时可以将未encryption的数据从SSL / TLS卸载发送到您的服务器。 移动证书并不是一个真正的安全优势(有人闯入你的Web服务器将获得所有的数据,不pipe他们是否可以窃取你的证书)。

你有SSL / TLS这样的开销,你真的需要卸载到外部硬件?

通常,您可以将卸载系统设置为仅在真正需要的地方提供SSL / TLS安全性。