Сертификаты SSL или промежуточные для DMZ
Мне было поручено развернуть и управлять балансировщиками нагрузки, охватывающими внутренние серверы и серверы DMZ. У меня нет опыта в этом, и это в первую очередь для моей организации. Балансировщики работают, законные. В настоящее время мы используем самозаверяющий сертификат для Exchange/OWA. Я знаю, что у нас должен быть сертификат, подписанный ЦС, но у балансировщика есть варианты для SSL-сертификата или промежуточного сертификата, и я не уверен в разнице или в том, что нам нужно. Мы будем размещать Lync, Exchange и некоторые пользовательские приложения в DMZ.
Отказ от ответственности: извиняюсь заранее, я поддерживаю настольный компьютер. Я недавно сдал свой Net+. Кажется, это сделало меня сетевым инженером в этой организации.
2 ответа
Предполагая, что ssl-сертификат и промежуточный сертификат являются отдельными элементами в конфигурации на балансировщике нагрузки, вам всегда нужно будет использовать элемент конфигурации ssl-сертификата независимо от того, используете ли вы самоподписанный сертификат или сертификат, подписанный центром сертификации. Если вы используете сертификат, подписанный центром сертификации, этот центр предоставит вам промежуточные сертификаты, которые вы добавите в элемент конфигурации промежуточного сертификата.
Если я правильно понимаю вопрос, кажется, что балансировщик нагрузки выходит на другие серверы. В этом случае клиент откроет SSL-соединение с сервером, и как часть рукопожатия SSL, балансировщик нагрузки должен будет вернуть свой сертификат и промежуточный сертификат CA сертификатов (если в иерархии имеется более одного корневой CA) клиенту (как часть сообщения CERTIFICATE), чтобы клиент мог проверить / подтвердить сертификат балансировщика нагрузки и принять решение, доверять ему или нет. Клиенту будет доверять, и подтверждение SSL будет продолжено, если будет подтверждена иерархия (цепочка сертификатов) сертификата балансировщика нагрузки с промежуточным сертификатом к сертификату корневого ЦС, поскольку клиент доверяет сертификату корневого ЦС. Краткое описание SSL: см. Вики TLS или, возможно, этот технический документ: http://www.symantec.com/content/en/us/enterprise/white_papers/b-wp_ecc.pdf [см. Раздел SSL]