TLS-Konfiguration mit Load Balancern von Drittanbietern
Einführung
Bei der Bereitstellung von GO-Global mit einem Load Balancer eines Drittanbieters können Administratoren entscheiden, wo das TLS-Protokoll beendet werden soll, um ein Gleichgewicht zwischen Sicherheit und Leistung herzustellen. Während Webanwendungen oft davon profitieren, TLS am Load Balancer zu beenden, um die Auslastung der Hosts zu verringern, benötigt GO-Global in der Regel weniger Verbindungen pro Sitzung, sodass beide Ansätze sinnvoll sind. Dieser Leitfaden erläutert, wann TLS am Load Balancer und wann auf den GO-Global-Hosts beendet werden sollte, und enthält Schritt-für-Schritt-Anleitungen zur sicheren und effizienten Konfiguration der jeweiligen Option.
Wenn ein Load Balancer eines Drittanbieters verwendet wird und das TLS-Protokoll erforderlich ist (z. B. wenn Clients über das Internet eine Verbindung zum Load Balancer herstellen), kann das TLS-Protokoll entweder am Load Balancer oder an den GO-Global-Hosts beendet werden.
Bei Webanwendungen ist es im Allgemeinen wünschenswert, das TLS-Protokoll am Load Balancer zu beenden, da dadurch die Last der Aushandlung der TLS-Verbindungen auf den Load Balancer verlagert wird und nicht auf die Anwendungshosts. Dies ist für Webanwendungen wichtig, da Webanwendungen in der Regel für jede Benutzersitzung viele Verbindungen zu Anwendungshosts öffnen. GO-Global öffnet jedoch in der Regel nur eine Verbindung pro Sitzung. Daher ist es bei GO-Global weniger notwendig, das TLS-Protokoll am Load Balancer zu beenden. Es gibt jedoch Situationen, in denen dies wünschenswert ist.
Um TLS am Load Balancer zu beenden
A. Konfigurieren Sie die GO-Global-Hosts so, dass sie das TCP-Protokoll verwenden und keine Verschlüsselung einsetzen:
- Starten Sie die Admin-Konsole auf dem Farm-Manager.
- Klicken Sie auf „Extras“ | „Host-Optionen“.
- Klicken Sie auf die Registerkarte „Sicherheit “.
- Wählen Sie unter „Protokoll“ die Option „TCP“ aus.
- Wählen Sie unter „Verschlüsselung“ die Option „Keine“ aus.
- Klicken Sie auf „OK“.
B. Wenn ein Failover-Farm-Manager verwendet wird, stellen Sie sicher, dass dieser über dieselben Einstellungen verfügt.
Dies kann auf folgende Weise erfolgen:
- Wiederholen Sie Schritt 1 auf dem Failover-Farm-Manager
-oder- - Kopieren der Datei „HostProperties.xml“ vom primären Farm-Manager auf den Failover-Farm-Manager
C. Konfigurieren Sie den Load Balancer für die Verwendung des TLS-Protokolls. Wenn Sie beispielsweise einen Amazon Web Services Network Load Balancer verwenden, stellen Sie das Protokoll des Listeners auf TLS ein und installieren Sie das TLS-Zertifikat auf dem Load Balancer.
Wenn es sich bei dem TLS-Zertifikat um ein Wildcard-Zertifikat handelt, muss die im Common Name des Zertifikats angegebene Domäne mit der Domäne der Adresse übereinstimmen, über die Clients eine Verbindung zum Load Balancer herstellen. Alternativ muss, wenn das TLS-Zertifikat kein Wildcard-Zertifikat ist, der Common Name des Zertifikats mit der Adresse übereinstimmen, die Clients für die Verbindung zum Load Balancer verwenden.
D. Aktivieren Sie die TLS-Option in AppController und/oder der GO-Global-Web-App:
- Fügen Sie für AppController „-tls 1“ zur Befehlszeile von AppController hinzu.
- Fügen Sie für die GO-Global-Web-App „tls=true“ zur URL hinzu oder legen Sie „tls=true“ in der Datei „logon.html“ fest.
Wenn das TLS-Protokoll am Load Balancer beendet wird, werden die Daten zwischen den Clients und dem Load Balancer verschlüsselt, nicht jedoch zwischen dem Load Balancer und den Hosts. Wenn die Daten von den Clients bis zu den Hosts durchgehend verschlüsselt werden müssen, sollte das TLS-Protokoll an den Hosts beendet werden.
Schlussfolgerung
Die richtige Konfiguration der TLS-Terminierung in einer GO-Global-Umgebung gewährleistet eine sichere und effiziente Kommunikation zwischen Clients, Load Balancern und Hosts. Die Terminierung von TLS am Load Balancer vereinfacht die Verwaltung und verringert die CPU-Auslastung auf den Hosts, während die End-to-End-TLS-Terminierung die Datensicherheit erhöht. Durch das Verständnis beider Methoden können Administratoren die optimale Konfiguration für die Anforderungen ihres Netzwerks hinsichtlich Leistung, Skalierbarkeit und Sicherheit implementieren.
Sind Sie ein ISV, der sich mit der Bereitstellung von Cloud-basierten Anwendungen beschäftigt? Setzen Sie sich mit uns in Verbindung, um zu erfahren, wie GO-Global Ihnen helfen kann, den Software-Zugang für Ihre Endbenutzer zu optimieren. Oder laden Sie eine kostenlose Testversion herunter, um es selbst zu testen.
