TLS-configuratie met load balancers van derden
Inleiding
Bij het implementeren van GO-Global met een load balancer van een derde partij kunnen beheerders kiezen waar het TLS-protocol moet worden beëindigd, om zo een evenwicht te vinden tussen beveiliging en prestaties. Hoewel webapplicaties er vaak baat bij hebben om TLS bij de load balancer te beëindigen om de werklast van de host te verminderen, vereist GO-Global doorgaans minder verbindingen per sessie, waardoor beide benaderingen haalbaar zijn. In deze handleiding wordt uitgelegd wanneer TLS bij de load balancer moet worden beëindigd en wanneer bij de GO-Global-hosts, en worden stapsgewijze instructies gegeven voor het veilig en efficiënt configureren van elke optie.
Wanneer een load balancer van een derde partij wordt gebruikt en het TLS-protocol vereist is (bijvoorbeeld wanneer clients via internet verbinding maken met de load balancer), kan het TLS-protocol worden beëindigd bij de load balancer of bij de GO-Global Hosts.
Bij webapplicaties is het over het algemeen wenselijk om het TLS-protocol bij de load balancer te beëindigen, omdat hierdoor de belasting van het tot stand brengen van de TLS-verbindingen bij de load balancer ligt, in plaats van bij de applicatiehosts. Dit is belangrijk voor webapplicaties omdat webapplicaties over het algemeen veel verbindingen met applicatiehosts openen voor elke gebruikerssessie. GO-Global opent echter over het algemeen slechts één verbinding per sessie. Daarom is het bij GO-Global minder nodig om het TLS-protocol bij de load balancer te beëindigen. Er zijn echter situaties waarin het wenselijk is om dit wel te doen.
Om TLS bij de load balancer te beëindigen
A. Stel de GO-Global-hosts zo in dat ze het TCP-protocol gebruiken en geen versleuteling:
- Start de beheerconsole op de Farm Manager.
- Klik op Extra | Hostopties.
- Klik op het tabblad Beveiliging.
- Selecteer onder Protocol de optie TCP.
- Selecteer onder 'Versleuteling' de optie 'Geen'.
- Klik op OK.
B. Als er een Failover Farm Manager wordt gebruikt, zorg er dan voor dat deze dezelfde instellingen heeft.
Dit kan op twee manieren:
- Herhaal stap 1 in de Failover Farm Manager
-of- - Het bestand HostProperties.xml kopiëren van de primaire Farm Manager naar de failover Farm Manager
C. Configureer de load balancer voor gebruik van het TLS-protocol. Als u bijvoorbeeld een Amazon Web Services Network Load Balancer gebruikt, stelt u het protocol van de listener in op TLS en installeert u het TLS-certificaat op de load balancer.
Als het TLS-certificaat een wildcard-certificaat is, moet het domein dat wordt opgegeven door de Common Name van het certificaat overeenkomen met het domein van het adres dat clients gebruiken om verbinding te maken met de load balancer. Als het TLS-certificaat daarentegen geen wildcard-certificaat is, moet de Common Name van het certificaat overeenkomen met het adres dat clients gebruiken om verbinding te maken met de load balancer.
D. Schakel de TLS-optie in AppController en/of de GO-Global-webapp in:
- Voeg voor AppController -tls 1 toe aan de opdrachtregel van AppController.
- Voeg voor de GO-Global-webapp tls=true toe aan de URL of stel tls=true in het bestand logon.html in.
Wanneer het TLS-protocol bij de load balancer wordt beëindigd, worden de gegevens tussen de clients en de load balancer versleuteld, maar niet tussen de load balancer en de hosts. Wanneer gegevens van de clients tot aan de hosts end-to-end moeten worden versleuteld, moet het TLS-protocol bij de hosts worden beëindigd.
Conclusie
Door TLS-terminatie in een GO-Global-omgeving correct te configureren, wordt veilige en efficiënte communicatie tussen clients, load balancers en hosts gewaarborgd. Door TLS bij de load balancer te beëindigen, wordt het beheer vereenvoudigd en wordt de CPU-belasting op hosts verminderd, terwijl end-to-end TLS-terminatie de gegevensbeveiliging verbetert. Door beide methoden te begrijpen, kunnen beheerders de beste configuratie implementeren voor de prestaties, schaalbaarheid en beveiligingsbehoeften van hun netwerk.
Bent u een ISV die de levering van toepassingen in de cloud onderzoekt? Neem contact met ons op om te ontdekken hoe GO-Global u kan helpen de toegang tot software voor uw eindgebruikers te stroomlijnen. Of download een gratis proefversie om het zelf te testen.
