如果我们在负载均衡器而不是服务器上安装SSL证书，是否存在安全风险？

Question

我正在对此进行一些研究，如果我们在负载均衡器而不是服务器上安装了SSL证书，是否存在安全风险？安装SSL证书的行业最佳做法是什么？在服务器，负载均衡器或ADC？

Answer 1

这在服务器故障上可能会更好，但我会在这里试一试。

SSL证书本身没有增加的安全风险，因为您将SSL证书放在负载均衡器上，假设负载均衡器配置正确并且不会提供私钥。任何服务器，负载均衡器都存在这种风险，新的操作系统受损或攻击可能会发生，但不太可能发生这种情况。

但是，根据您的操作方式，如果负载均衡器仅将HTTP与内容服务器进行通信，则可以不加密地发送负载均衡器后面的流量。因此，您需要将转发的连接配置为使用HTTPS，使用内部证书和您自己的CA，或者在内容服务器上安装外部HTTPS证书（如果您的目标是，则需要执行此操作） PCI合规性。）

请记住，还存在负载风险，加密费用昂贵，并且通过将证书放在负载均衡器上，它会增加负载，错误，负载。如果负载平衡器已经过度拉伸，则可能是最后一根吸管。如果您正在查看大量事务，那么您往往会看到硬件SSL设备位于负载均衡器之前，负责处理SSL流量，然后将HTTP与负载均衡器进行对话，负载均衡器将HTTP与内容服务器进行通信。 （如果您的目标是PCI合规性，那么这也需要是HTTPS）

Answer 2

以下是我能想到的含义：

• 除非您重新加密SSL加速器和最终服务器之间的流量，否则内部网络上的流量将以明文形式显示。这可能会导致其他安全漏洞变得更加危险。根据您对所转移数据的法律和合同要求，这可能是不可接受的。
• 您将无法使用X509证书来识别客户端。这可能是一个问题，取决于你正在做什么。

对于证书管理，您将私钥存储在SSL加速器而不是服务器上。这实际上可能是一个优势，因为如果Web服务器受到攻击，攻击者仍然无法访问私钥，因此无法窃取它们。

Answer 3

有许多级别的负载平衡。您没有选择，只能在最常用的配置中将证书放入负载均衡器。

例如，如果您在负载均衡器中代理HTTP流量，则必须终止SSL连接，因此它必须具有证书。

通常，负载均衡器位于安全区域中，因此您不必在平衡器和服务器之间使用SSL。如果不是这种情况，您可以再次使用SSL，但在大多数交换机上都无法实现SSL加速功能。