Configuração de TLS com balanceadores de carga de terceiros
Introdução
Ao implantar o GO-Global com um balanceador de carga de terceiros, os administradores podem escolher onde encerrar o protocolo TLS para equilibrar segurança e desempenho. Embora as aplicações web geralmente se beneficiem do encerramento do TLS no balanceador de carga para reduzir a carga de trabalho do host, o GO-Global normalmente requer menos conexões por sessão, tornando ambas as abordagens viáveis. Este guia explica quando encerrar o TLS no balanceador de carga em vez de nos hosts do GO-Global e fornece instruções passo a passo para configurar cada opção de forma segura e eficiente.
Quando se utiliza um balanceador de carga de terceiros e o protocolo TLS é obrigatório (por exemplo, quando os clientes se conectam ao balanceador de carga pela Internet), o protocolo TLS pode ser encerrado no balanceador de carga ou nos hosts GO-Global.
Com aplicativos web, geralmente é preferível encerrar o protocolo TLS no balanceador de carga, pois isso transfere a carga de negociação das conexões TLS para o balanceador de carga, em vez de para os hosts do aplicativo. Isso é importante para aplicativos web porque eles geralmente abrem muitas conexões com os hosts do aplicativo para cada sessão do usuário. O GO-Global, no entanto, geralmente abre apenas uma conexão por sessão. Portanto, com o GO-Global, há menos necessidade de encerrar o protocolo TLS no balanceador de carga. No entanto, há situações em que é desejável fazer isso.
Para encerrar a conexão TLS no balanceador de carga
A. Configure os hosts GO-Global para usar o protocolo TCP e sem criptografia:
- Execute o Console de Administração no Farm Manager.
- Clique em Ferramentas | Opções do host.
- Clique na guia " Segurança ".
- Em Protocolo, selecione TCP.
- Em " Criptografia", selecione " Nenhuma".
- Clique em OK.
B. Se for utilizado um Farm Manager de failover, certifique-se de que ele tenha as mesmas configurações.
Isso pode ser feito de duas maneiras:
- Repetir o passo 1 no Farm Manager de failover
-ou- - Copiar o arquivo HostProperties.xml do Farm Manager principal para o Farm Manager de failover
C. Configure o balanceador de carga para usar o protocolo TLS. Por exemplo, se estiver usando um Amazon Web Services Network Load Balancer, defina o Protocolo do Listener como TLS e instale o certificado TLS no balanceador de carga.
Se o certificado TLS for um certificado curinga, o domínio especificado pelo Nome Comum do certificado deve corresponder ao domínio do endereço que os clientes usam para se conectar ao balanceador de carga. Alternativamente, se o certificado TLS não for um certificado curinga, o Nome Comum do certificado deve corresponder ao endereço que os clientes usam para se conectar ao balanceador de carga.
D. Ative a opção TLS no AppController e/ou no GO-Global Web App:
- Para o AppController, adicione -tls 1 à linha de comando do AppController.
- Para o aplicativo web GO-Global, adicione tls=true à URL ou defina tls=true no arquivo logon.html.
Quando o protocolo TLS é encerrado no balanceador de carga, os dados são criptografados entre os clientes e o balanceador de carga, mas não entre o balanceador de carga e os hosts. Quando os dados precisam ser criptografados de ponta a ponta, dos clientes aos hosts, o protocolo TLS deve ser encerrado nos hosts.
Conclusão
A configuração adequada da terminação TLS em um ambiente GO-Global garante uma comunicação segura e eficiente entre clientes, balanceadores de carga e hosts. A terminação TLS no balanceador de carga simplifica o gerenciamento e reduz a carga da CPU nos hosts, enquanto a terminação TLS de ponta a ponta aumenta a segurança dos dados. Ao compreender ambos os métodos, os administradores podem implementar a melhor configuração para as necessidades de desempenho, escalabilidade e segurança de sua rede.
Você é um ISV que está explorando o fornecimento de aplicativos baseados em nuvem? Entre em contato conosco para saber como a GO-Global pode ajudá-lo a simplificar o acesso ao software para seus usuários finais. Ou faça o download de uma avaliação gratuita para testá-la você mesmo.
