มีความเสี่ยงด้านความปลอดภัยหรือไม่หากเราติดตั้ง SSL Certificate ที่โหลดบาลานเซอร์แทนเซิร์ฟเวอร์

นี่อาจจะดีกว่าหากเกิดข้อผิดพลาดของเซิร์ฟเวอร์ แต่ฉันจะลองดูที่นี่

ไม่มีความเสี่ยงด้านความปลอดภัยเพิ่มขึ้นสำหรับใบรับรอง SSL เพียงเพราะคุณใส่ใบรับรอง SSL ไว้ในโหลดบาลานเซอร์ โดยถือว่าโหลดบาลานเซอร์ได้รับการกำหนดค่าอย่างถูกต้องและจะไม่แสดงคีย์ส่วนตัว ความเสี่ยงนี้มีอยู่บนเซิร์ฟเวอร์ โหลดบาลานเซอร์หรือไม่ก็ตาม ระบบปฏิบัติการใหม่ถูกโจมตีหรือโจมตี แม้ว่าจะไม่น่าจะเป็นไปได้ก็ตาม

อย่างไรก็ตาม ขึ้นอยู่กับว่าคุณดำเนินการอย่างไร การรับส่งข้อมูลเบื้องหลังโหลดบาลานเซอร์อาจถูกส่งโดยไม่เข้ารหัส หากโหลดบาลานเซอร์สื่อสาร HTTP กับเซิร์ฟเวอร์เนื้อหาเท่านั้น ดังนั้น คุณต้องกำหนดค่าการเชื่อมต่อที่ส่งต่อเพื่อใช้ HTTPS เช่นกัน ไม่ว่าจะใช้ใบรับรองภายในและ CA ของคุณเอง หรือโดยการติดตั้งใบรับรอง HTTPS แบบสัมผัสภายนอกบนเซิร์ฟเวอร์เนื้อหา (และคุณจะต้องดำเนินการนี้หากคุณต้องการ การปฏิบัติตาม PCI)

โปรดจำไว้ว่ายังมีความเสี่ยงในการโหลด การเข้ารหัสมีราคาแพง และการใส่ใบรับรองลงบนโหลดบาลานเซอร์จะเพิ่ม ผิดพลาด โหลดในนั้น หากโหลดบาลานเซอร์ยืดออกมากเกินไป นี่อาจเป็นฟางเส้นสุดท้าย หากคุณกำลังดูธุรกรรมจำนวนมาก คุณมักจะเห็นอุปกรณ์ฮาร์ดแวร์ SSL อยู่ข้างหน้าโหลดบาลานเซอร์ซึ่งจะดูแลการรับส่งข้อมูล SSL จากนั้นจึงสื่อสาร HTTP กับโหลดบาลานเซอร์ ซึ่งจะพูดคุย HTTP กับเซิร์ฟเวอร์เนื้อหา (สิ่งนี้จะต้องเป็น HTTPS อีกครั้งหากคุณต้องการปฏิบัติตาม PCI)

นี่คือความหมายที่ฉันคิดได้:

• การรับส่งข้อมูลบนเครือข่ายภายในจะเป็นข้อความที่ชัดเจน เว้นแต่คุณจะเข้ารหัสการรับส่งข้อมูลระหว่างตัวเร่งความเร็ว SSL และเซิร์ฟเวอร์สุดท้ายอีกครั้ง นั่นอาจทำให้ข้อบกพร่องด้านความปลอดภัยอื่น ๆ กลายเป็นอันตรายมากขึ้น ขึ้นอยู่กับข้อกำหนดทางกฎหมายและสัญญาของคุณเกี่ยวกับข้อมูลที่คุณกำลังถ่ายโอน อาจเป็นที่ยอมรับไม่ได้
• คุณจะสูญเสียความสามารถในการใช้ใบรับรอง X509 เพื่อระบุไคลเอ็นต์ นี่อาจเป็นปัญหาหรือไม่ก็ได้ ขึ้นอยู่กับสิ่งที่คุณกำลังทำอยู่

สำหรับการจัดการใบรับรอง คุณกำลังจัดเก็บคีย์ส่วนตัวไว้บนตัวเร่งความเร็ว SSL แทนเซิร์ฟเวอร์ นี่อาจเป็นข้อได้เปรียบจริงๆ เพราะหากเว็บเซิร์ฟเวอร์ถูกโจมตี ผู้โจมตีจะยังไม่สามารถเข้าถึงคีย์ส่วนตัวได้ ดังนั้นจะไม่สามารถขโมยคีย์เหล่านั้นได้

Load Balancing มีหลายระดับ คุณไม่มีทางเลือกนอกจากใส่ใบรับรองลงในโหลดบาลานเซอร์ในการกำหนดค่ายอดนิยมส่วนใหญ่

ตัวอย่างเช่น หากคุณใช้พร็อกซีการรับส่งข้อมูล HTTP ในโหลดบาลานเซอร์ จะต้องยุติการเชื่อมต่อ SSL จึงต้องมีใบรับรอง

โดยปกติแล้ว โหลดบาลานเซอร์จะอยู่ในโซนที่ปลอดภัย ดังนั้นคุณไม่จำเป็นต้องใช้ SSL ระหว่างบาลานเซอร์และเซิร์ฟเวอร์ของคุณ หากไม่เป็นเช่นนั้น คุณสามารถใช้ SSL ได้อีกครั้ง แต่คุณขัดจุดประสงค์ของคุณสมบัติการเร่งความเร็ว SSL บนสวิตช์ส่วนใหญ่