Configuración de TLS con equilibradores de carga de terceros
Introducción
Al implementar GO-Global con un equilibrador de carga de terceros, los administradores pueden elegir dónde terminar el protocolo TLS para lograr un equilibrio entre seguridad y rendimiento. Aunque las aplicaciones web suelen beneficiarse de terminar el TLS en el equilibrador de carga para reducir la carga de trabajo del host, GO-Global suele requerir menos conexiones por sesión, lo que hace que ambos enfoques sean viables. Esta guía explica cuándo terminar el TLS en el equilibrador de carga frente a los hosts de GO-Global y ofrece instrucciones paso a paso para configurar cada opción de forma segura y eficiente.
Cuando se utiliza un equilibrador de carga de terceros y se requiere el protocolo TLS (por ejemplo, cuando los clientes se conectan al equilibrador de carga a través de Internet), el protocolo TLS puede terminarse bien en el equilibrador de carga, bien en los hosts de GO-Global.
En el caso de las aplicaciones web, suele ser preferible terminar el protocolo TLS en el equilibrador de carga, ya que esto hace que la carga de negociar las conexiones TLS recaiga sobre el equilibrador de carga, en lugar de sobre los hosts de la aplicación. Esto es importante para las aplicaciones web, ya que estas suelen abrir muchas conexiones a los hosts de la aplicación por cada sesión de usuario. GO-Global, sin embargo, suele abrir solo una conexión por sesión. Por lo tanto, con GO-Global, hay menos necesidad de terminar el protocolo TLS en el equilibrador de carga. Sin embargo, hay situaciones en las que es recomendable hacerlo.
Para terminar la conexión TLS en el equilibrador de carga
A. Configure los servidores GO-Global para que utilicen el protocolo TCP y no apliquen cifrado:
- Ejecuta la consola de administración en el administrador de la granja.
- Haga clic en Herramientas | Opciones del host.
- Haz clic en la pestaña «Seguridad ».
- En «Protocolo», selecciona TCP.
- En «Cifrado», selecciona «Ninguno».
- Haga clic en Aceptar.
B. Si se utiliza un Farm Manager de conmutación por error, asegúrese de que tenga la misma configuración.
Esto se puede hacer de dos maneras:
- Repetir el paso 1 en el Farm Manager de conmutación por error
-o- - Copiar el archivo HostProperties.xml del Farm Manager principal al Farm Manager de conmutación por error
C. Configure el equilibrador de carga para que utilice el protocolo TLS. Por ejemplo, si utiliza un equilibrador de carga de red de Amazon Web Services, establezca el protocolo del oyente en TLS e instale el certificado TLS en el equilibrador de carga.
Si el certificado TLS es un certificado comodín, el dominio especificado en el nombre común del certificado debe coincidir con el dominio de la dirección que utilizan los clientes para conectarse al equilibrador de carga. Por el contrario, si el certificado TLS no es un certificado comodín, el nombre común del certificado debe coincidir con la dirección que utilizan los clientes para conectarse al equilibrador de carga.
D. Habilite la opción TLS en AppController y/o en la aplicación web GO-Global:
- En el caso de AppController, añade -tls 1 a la línea de comandos de AppController.
- En la aplicación web GO-Global, añade «tls=true» a la URL o configura «tls=true» en el archivo logon.html.
Cuando el protocolo TLS se termina en el equilibrador de carga, los datos se cifran entre los clientes y el equilibrador de carga, pero no entre este último y los servidores. Cuando sea necesario cifrar los datos de extremo a extremo, desde los clientes hasta los servidores, el protocolo TLS debe terminarse en los servidores.
Conclusión
Una configuración adecuada de la terminación TLS en un entorno GO-Global garantiza una comunicación segura y eficiente entre los clientes, los equilibradores de carga y los hosts. La terminación TLS en el equilibrador de carga simplifica la gestión y reduce la carga de la CPU en los hosts, mientras que la terminación TLS de extremo a extremo mejora la seguridad de los datos. Al comprender ambos métodos, los administradores pueden implementar la mejor configuración para satisfacer las necesidades de rendimiento, escalabilidad y seguridad de su red.
¿Es usted un ISV que explora la entrega de aplicaciones basada en la nube? Póngase en contacto con nosotros para saber cómo GO-Global puede ayudarle a agilizar el acceso al software para sus usuarios finales. O descargue una versión de prueba gratuita para probarlo usted mismo.
