Configuration TLS avec des équilibreurs de charge tiers
Introduction
Lors du déploiement de GO-Global avec un équilibreur de charge tiers, les administrateurs peuvent choisir où terminer le protocole TLS afin de trouver un juste équilibre entre sécurité et performances. Alors que les applications web tirent souvent avantage de la terminaison du protocole TLS au niveau de l'équilibreur de charge pour réduire la charge de travail des hôtes, GO-Global nécessite généralement moins de connexions par session, ce qui rend les deux approches envisageables. Ce guide explique quand terminer le protocole TLS au niveau de l'équilibreur de charge plutôt que sur les hôtes GO-Global et fournit des instructions étape par étape pour configurer chaque option de manière sécurisée et efficace.
Lorsqu'un équilibreur de charge tiers est utilisé et que le protocole TLS est requis (par exemple, lorsque les clients se connectent à l'équilibreur de charge via Internet), le protocole TLS peut être terminé soit au niveau de l'équilibreur de charge, soit au niveau des hôtes GO-Global.
Avec les applications web, il est généralement préférable de terminer le protocole TLS au niveau de l'équilibreur de charge, car cela fait peser la charge de négociation des connexions TLS sur l'équilibreur de charge plutôt que sur les hôtes d'application. Ceci est important pour les applications web, car celles-ci ouvrent généralement de nombreuses connexions vers les hôtes d'application pour chaque session utilisateur. GO-Global, en revanche, n'ouvre généralement qu'une seule connexion par session. Par conséquent, avec GO-Global, il est moins nécessaire de terminer le protocole TLS au niveau de l'équilibreur de charge. Il existe toutefois des situations où il est souhaitable de le faire.
Pour mettre fin à la connexion TLS au niveau de l'équilibreur de charge
A. Configurez les hôtes GO-Global pour qu'ils utilisent le protocole TCP sans cryptage :
- Lancez la console d'administration sur le gestionnaire de ferme.
- Cliquez sur Outils | Options d'hôte.
- Cliquez sur l'onglet « Sécurité ».
- Dans la section « Protocole », sélectionnez TCP.
- Dans la section « Cryptage », sélectionnez « Aucun ».
- Cliquez sur OK.
B. Si vous utilisez un Farm Manager de basculement, assurez-vous qu'il dispose des mêmes paramètres.
Pour ce faire, vous pouvez procéder de l'une des deux manières suivantes :
- Répéter l'étape 1 sur le Farm Manager de basculement
-ou- - Copier le fichier HostProperties.xml du gestionnaire de ferme principal vers le gestionnaire de ferme de secours
C. Configurez l'équilibreur de charge pour qu'il utilise le protocole TLS. Par exemple, si vous utilisez un équilibreur de charge réseau Amazon Web Services, définissez le protocole de l'écouteur sur TLS et installez le certificat TLS sur l'équilibreur de charge.
Si le certificat TLS est un certificat générique, le domaine spécifié par le nom commun du certificat doit correspondre au domaine de l'adresse que les clients utilisent pour se connecter à l'équilibreur de charge. Sinon, si le certificat TLS n'est pas un certificat générique, le nom commun du certificat doit correspondre à l'adresse que les clients utilisent pour se connecter à l'équilibreur de charge.
D. Activez l'option TLS dans AppController et/ou dans l'application Web GO-Global :
- Pour AppController, ajoutez -tls 1 à la ligne de commande d'AppController.
- Pour l'application Web GO-Global, ajoutez tls=true à l'URL ou définissez tls=true dans le fichier logon.html.
Lorsque le protocole TLS est interrompu au niveau de l'équilibreur de charge, les données sont chiffrées entre les clients et l'équilibreur de charge, mais ne le sont pas entre l'équilibreur de charge et les serveurs. Lorsque les données doivent être chiffrées de bout en bout, des clients aux serveurs, le protocole TLS doit être interrompu au niveau des serveurs.
Conclusion
Une configuration adéquate de la terminaison TLS dans un environnement GO-Global garantit une communication sécurisée et efficace entre les clients, les équilibreurs de charge et les hôtes. La terminaison TLS au niveau de l'équilibreur de charge simplifie la gestion et réduit la charge CPU sur les hôtes, tandis que la terminaison TLS de bout en bout renforce la sécurité des données. En maîtrisant ces deux méthodes, les administrateurs peuvent mettre en œuvre la configuration la mieux adaptée aux besoins de leur réseau en matière de performances, d'évolutivité et de sécurité.
Êtes-vous un ISV qui explore la livraison d'applications basées sur le nuage ? Contactez-nous pour savoir comment GO-Global peut vous aider à rationaliser l'accès aux logiciels pour vos utilisateurs finaux. Ou téléchargez un essai gratuit pour le tester vous-même.
