¿Cada servidor detrás de un equilibrador de carga necesita su propio certificado SSL?

Si tiene 5 servidores web detrás de un equilibrador de carga (como haproxy) y están sirviendo contenido para el mismo dominio, ¿necesita certificados SSL para todos los servidores o puede usar el mismo certificado en cada servidor?

Sé que puede colocar todas las solicitudes SSL en un servidor específico, pero eso requiere información de sesión distribuida y espero que no llegue a eso.

Si tiene 5 servidores web detrás de un equilibrador de carga (...) ¿necesita certificados SSL para todos los servidores,

Depende.

Si realiza el equilibrio de carga en la capa TCP o IP (capa OSI 4/3, también conocida como L4, L3), entonces sí, todos los servidores HTTP deberán tener instalado el certificado SSL.

Si equilibra la carga en la capa HTTPS (L7), normalmente instalará el certificado solo en el equilibrador de carga y usará HTTP sin cifrar en la red local entre el equilibrador de carga y los servidores web (para obtener el mejor rendimiento en el servidores web).

Si tiene una instalación grande , puede estar haciendo Internet -> Equilibrio de carga L3 -> capa de concentradores SSL L7 -> equilibradores de carga -> capa de servidores de aplicaciones HTTP L7 ...

Willy Tarreau, el autor de HAProxy, tiene una visión general muy agradable de las formas canónicas de equilibrio de carga HTTP / HTTPS .

Si instala un certificado en cada servidor, asegúrese de obtener un certificado que lo admita. Normalmente, los certificados se pueden instalar en varios servidores, siempre y cuando todos los servidores sirvan tráfico para un solo Nombre de dominio completo. Pero verifique lo que está comprando, los emisores de certificados pueden tener una cartera de productos confusa ...

Debería poder usar el mismo certificado en cada servidor. Si su sitio web es www.gathright.com, debería poder comprar un certificado para ese FQDN. Luego lo instala en cada uno de sus 5 servidores detrás del equilibrador.

Alternativamente, puede obtener un certificado por separado para cada servidor web, pero incluya 'www.gathright.com' como un "Nombre alternativo del sujeto", lo que significa que cada uno de los 5 certificados sería válido para SSL para ese FQDN general y SSL a los FQDN del servidor específico.

SÍ , puede usar el mismo certificado y la clave privada asociada en todos sus servidores, si están detrás de un equilibrador de carga o un proxy inverso de equilibrio de carga y si todos están sirviendo contenido para el mismo dominio.

Los certificados, cuando están firmados por una autoridad de certificación, afirman que la autoridad de certificación verificó el nombre que figura en el certificado. Para los certificados de sitios web, eso significa el nombre de dominio del sitio web. Su navegador espera que el servidor con el que está hablando, si está hablando por HTTPS, presente un certificado con el mismo nombre que el nombre de dominio con el que el navegador cree que está hablando. (Por ejemplo, no es probable que VeriSign firme el certificado de Hacker Joe para bankofamerica.com. Por lo tanto, incluso si Hacker Joe logra interceptar el tráfico entre usted y bankofamerica.com, Hacker Joe no tendrá un certificado firmado para bankofamerica.com y su navegador colocará grandes banderas rojas de advertencia por todo el lugar).

Lo que importa es que el nombre en el certificado coincida con el nombre de dominio con el que el navegador cree que está hablando. Puede usar el mismo certificado (con la clave privada asociada) con el nombre correcto en varios servidores web en un clúster web, siempre que estén detrás de un equilibrador de carga.

También puede usar un equilibrador de carga con terminación SSL, en cuyo caso usaría el certificado (con la clave privada asociada) en el equilibrador de carga, y los servidores web no necesitarían certificados porque no tendrían nada que ver con el SSL

Nuestra configuración ha funcionado muy bien:

https trafic
     |
   pound
     |
http traffic
     |
  haproxy
     |
http traffic 
     |
web server 1 ... web server n

De esta manera, la libra descifra el tráfico, de aquí en adelante todo es http. Ventajas: menos configuración en los servidores web, una herramienta para cada trabajo. Puede maximizar la CPU en la máquina de la libra y mantener los servidores web "normales". Debe obtener al menos dos de cada uno (pound, haproxy, servidores web), si el tiempo de actividad es importante.

AFAIR, puede usar el mismo certificado en cada servidor. También puede implementar un acelerador SSL y descargar todo el tráfico SSL en él.