|
SLB若要處理的後端Real Server是加密過的SSL站台，
那在設定上有沒有什麼不同呢？
當然是有的，否則也不會多出這一篇了！
經過SSL憑證保護過後的HTTPS站台，在處理上有兩種選擇，
第一是透過L4 TCP 443 port的方式來做處理；
第二是透過L7 HTTPS 443 port的來處理。
處理方式不同，APV的作法自然也不同。
以L4 TCP的方式來說，由於APV是把它當成一般協定在做，
所以不會像L7應用層的處理一般，把憑證及加解密直接forward給後端Real server來處理。
也因為這樣，針對HTTP/HTTPS的X-forwarded-for在L4的TCP上就不會發生效果。
但在憑證的處理上，相對單純，不會去做特別處理，直接放行給後端伺服器來處理。
哪一種比較好，端看客戶端需求。
若需要知道前端使用者的真正來訪IP，那沒有選擇，只能用HTTPS的方式；
若無此需求，且後端伺服器的憑證都已架設完成，那用TCP的方式，處理上相對簡單。
以L4 TCP 443方式來處理
TCP 443的方式其實很簡單，只要在Real及Virtual都選好TCP 443 port的方式，
把Real、Group、Virtual三者間的關係串聯好即可。
以L7 HTTPS 443的方式來處理
HTTPS 443的方式其實跟TCP差不多，同樣的在Real及Virtual都選好HTTPS 443的方式來進行，並串聯起來。
接著就要開始處理憑證的問題。
Virtual的憑證要在Proxy / SSL / Virutal Hosts中設定。
先加入一筆SSL的Virtual Server站台對應。
然後開始匯入正式站台的憑證。
匯入的SSL資訊，包括站台的私有金鑰、憑證單位發出的憑證及根憑證三個主要部分。
若憑證單位有給中繼憑證，也請一併匯入。
若是測試站台，沒有實際憑證，那麼可用測試的自建憑證來產生憑證。
Virtual Server建好憑證後，啟用SSL服務。
然後在Proxy / SSL / Real Hosts建立後端真實主機的SSL站台資訊。
同樣的，啟用Real Server的SSL服務。
如果在憑證的部分，我們是使用自建憑證，後端真實主機還沒有真正的憑證時，
請取消勾選 Enable Server Certification Verificaion，以略過對後端主機的憑證驗證。
HTTPS的SLB到這邊就算完成囉∼
如果說，後端主機沒打算申請憑證，
純粹由APV來進行HTTPS的憑證加解密，後端只採用HTTP的明碼服務，可行嗎？
這是可以的！
只要Group中的Real Server採用HTTP服務，
由APV來做HTTPS轉HTTP的SLB服務也是可行的。
而且因為後端主機只做HTTP服務，不用耗費效能在SSL的加解密上，效能會更好∼
 |
 |
♥順子老婆的網拍，請多關照∼
If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!
|
2014-09-29, 17:03
《分享》HTTPS的SLB
《分享》微軟IIS站台下的憑證匯入
