Запуск соединений HTTP и HTTPS для одного домена (скажем, www.example.com) через конечную точку SSL Cisco ACE
Конфигурация моего веб-приложения имеет балансировку нагрузки Cisco ACE по ферме серверов, и я хочу использовать ACE в качестве конечной точки SSL. Чтобы сделать эту работу, сетевой архитектор разработал проект, в котором все защищенные страницы должны обслуживаться с secure.my-domain.com, а незащищенные страницы обслуживаются с www.my-domain.com. Причина этого, очевидно, заключается в том, что настройка Cisco ACE для приема запросов HTTPS через порт 443 для определенного общедоступного IP-адреса предотвращает одновременное принятие запросов HTTP на порт 80 для того же IP-адреса. Хотя я не эксперт по сетевым технологиям (или Cisco), кажется, что это неправильно, поскольку это помешает любому веб-сайту, использующему Cisco ACE, обслуживать страницы на http://www.my-domain.com
а также https://www.my-domain.com
одновременно. В этой ситуации мои вопросы:
- Действительно ли это ограничение Cisco ACE при использовании в качестве конечной точки SSL?
- Если нет, то могу ли я предположить, что мы можем настроить ACE для приема соединений для определенного IP-адреса на портах 80 и 443 и функционировать в качестве конечной точки SSL для входящих запросов на 443? Ссылки на соответствующую документацию приветствуются здесь.
- Предполагая установку из предыдущего вопроса, могу ли я перенаправить оба набора запросов в одну и ту же ферму серверов на один и тот же порт?
1 ответ
Это неправда. Вы можете настроить балансировку нагрузки как для HTTP, так и для HTTPS трафика к одному и тому же VIP.
Пример конфигурации:
rserver host web-01
ip address 10.x.x.x
probe SIMPLE-ICMP-PROBE
inservice
rserver host web-02
ip address 10.x.x.x
probe SIMPLE-ICMP-PROBE
inservice
serverfarm host 055-SFARM
predictor leastconns slowstart 120
probe SIMPLE-HTTP-PROBE
rserver web-01 80
inservice
rserver web-02 80
inservice
class-map match-all VIP:443
10 match virtual-address 10.1.1.2 tcp eq https
class-map match-all VIP:80
10 match virtual-address 10.1.1.2 tcp eq www
policy-map type loadbalance first-match VIP:443-POLICY
class class-default
serverfarm 055-SFARM
policy-map type loadbalance first-match VIP:80-POLICY
class class-default
serverfarm 055-SFARM
policy-map multi-match VIP-SPOLICY
class VIP:80
loadbalance vip inservice
loadbalance policy VIP:80-POLICY
loadbalance vip icmp-reply active
class VIP:443
loadbalance vip inservice
loadbalance policy VIP:443-POLICY
loadbalance vip icmp-reply active
ssl-proxy server SSL-PROXY-WITH-CERT