Puncte:0

Cel mai bun mod de a forța utilizarea certificatului SSL

drapel id

Când un browser se conectează la site-ul meu introducând FQDN-ul său, conexiunea este criptată folosind certificatul SSL al site-ului.

Cu toate acestea, mi-a atras atenția că este posibil să ocoliți SSL-ul și să inițiați o conexiune necriptată introducând adresa IP a echilibrului de încărcare (caz în care veți primi o eroare care spune că nu a putut fi criptată).

Linkul de mai jos sugerează că aș putea rezolva acest lucru cu o redirecționare.

Apache reverse proxy, astfel încât solicitările browserului SSL pentru IP-ul serverului să fie redirecționate către FQDN

Este aceasta o practică bună sau chiar ar trebui să leg certificatul de adresa IP în plus față de FQDN-ul?

drapel us
Rob
Nu înțeleg exact care este problema dvs. sau configurația greșită, dar, în general, se consideră a fi cea mai bună practică să vă configurați serverul web să nu difuzeze conținut real prin HTTP simplu pe portul 80, ci să utilizați doar portul 80 pentru a redirecționa către https . Când nu aveți un certificat pentru adresa IP, pur și simplu nu (generați o) redirecționare către `https://` dar la `https://www.example.com` și ar trebui să fii bine. Sau puteți considera cererile HTTP fără un domeniu/nume de gazdă (valid) ca fiind eronate și pur și simplu puteți răspunde cu un răspuns de eroare adecvat.
Brandon Xavier avatar
drapel us
IMHO, dacă aveți un echilibrator de încărcare, acesta ar trebui să se ocupe de redirecționarea http către https. Și dacă considerați că conexiunile dintre echilibratorul de încărcare sunt de încredere - puteți face un pas mai departe și lăsați echilibratorul de încărcare să se ocupe de toată procesarea SSL și să transmită traficul către serverele web necriptat. Atunci trebuie doar să mențineți certificatul unic pe LB.
Huw Evans avatar
drapel id
@Rob Sunt conștient de acest lucru și cu siguranță nu am intenționat ca nimic să fie servit prin HTTP simplu pe portul 80. Problema este că dacă puneți https:// acesta afișează pagina cu o eroare „criptare eșuată”. Nu știu cum să schimb asta.
Huw Evans avatar
drapel id
@BrandonXavier Da, redirecționează http la https, dar numai pentru FQDN. Configurarea este așa cum descrieți în acest moment, deși mă gândesc la criptarea de la capăt la capăt ca opțiune.
Huw Evans avatar
drapel id
Pentru referință, acesta este ghidul pe care l-am urmat pentru a configura echilibrul de încărcare. https://docs.digitalocean.com/products/networking/load-balancers/how-to/ssl-termination/

Postează un răspuns

Majoritatea oamenilor nu înțeleg că a pune multe întrebări deblochează învățarea și îmbunătățește legătura interpersonală. În studiile lui Alison, de exemplu, deși oamenii își puteau aminti cu exactitate câte întrebări au fost puse în conversațiile lor, ei nu au intuit legătura dintre întrebări și apreciere. În patru studii, în care participanții au fost implicați în conversații ei înșiși sau au citit transcrieri ale conversațiilor altora, oamenii au avut tendința să nu realizeze că întrebarea ar influența – sau ar fi influențat – nivelul de prietenie dintre conversatori.