负载均衡器上的多个 SSL 证书

信息安全 tls 证书 网络服务器
2021-09-10 07:16:37

我们正在与我们的运营部门讨论通配符 SSL 证书。我们的目的是禁止所有通配符证书(如 *.domain.com)用于 Internet 公开的 Web 应用程序,因为它们至少在生产环境中存在潜在的安全风险。

不考虑与购买证书相关的成本(每个 Web 应用程序一个),他们声称该解决方案不可行,因为所有 SSL 证书都在负载均衡器上进行管理。

我没有管理负载均衡器的经验;我想它就像一个具有多个虚拟主机的 Apache 配置,每个虚拟主机都有其证书(即https://www.digicert.com/ssl-support/apache-multiple-ssl-certificates-using-sni.htm)。Akamai 最近的一条消息称,SNI 已被广泛采用 ( https://blogs.akamai.com/2017/03/reaching-toward-universal-tls-sni.html )。

在负载均衡器上管理许多证书的真正困难是什么?

是否有一些来自权威来源的最佳实践?

1个回答

不考虑与购买证书相关的成本(每个 Web 应用程序一个),他们声称该解决方案不可行,因为所有 SSL 证书都在负载均衡器上进行管理。

可以说这是一个服务器故障问题,因为它询问负载均衡器的配置。我们不可能完全回答,因为我们不知道贵公司使用的是什么设置。但是,一般来说添加额外的证书应该不难;它应该只有几行配置,并且操作人员应该有配置管理脚本,允许他们将另一个证书添加到数组中并让工具生成结果配置。

但是,更常见的方法是使用包含您希望使用的所有域名条目的 SAN 证书。看看这里的证书,例如:

在此处输入图像描述

这也是 CDN 常用的,因此他们不需要管理来自每个客户端的一大堆证书:

在此处输入图像描述

这里的关键问题当然是添加新域时需要更新证书。为了解决这个问题,我需要提前通知您要添加一个新域,并将它们中的一堆一起批处理成一个新证书;因此,如果您每年更新证书并每月添加新域,您将在负载均衡器上安装十二个证书,每个月一个。