Wir haben eine Webserverfarm, auf der derzeit 2 Anwendungen gehostet werden - beide Anwendungen werden auf allen Servern ausgeführt. Wir möchten dies aufteilen, damit wir für jede App eine dedizierte Serverfarm haben (wir haben gute Gründe dafür).
Wir hatten gehofft, einen einzigen Load-Balancer vor allen Servern zu haben, der den Datenverkehr basierend auf dem Hostnamen an die richtige Farm weiterleitet, aber wir möchten SSL für die Webserver beibehalten.
Es scheint, dass die Router, die uns angeboten werden, dies nicht tun. Ich schätze, dass dies ohne SNI unmöglich ist, aber wir erwarten SNI-Indikatoren für praktisch unseren gesamten Verkehr.
Jetzt bin ich ein Programmierer, kein Netzwerk-Typ, aber wenn eine neue SSL-Verbindungsanforderung eingeht, kann der Router den SNI-Header nicht untersuchen und zur richtigen Farm weiterleiten. Ich gehe davon aus, dass die eingehende SSL-Verbindung durch {Quell-IP: Quellport} identifiziert wird. Kann sie sich also nicht an nachfolgende eingehende Pakete erinnern (wenn SNI nur im ersten Paket vorhanden ist)?
Soweit ich das beurteilen kann, tut Haproxy dies, aber es scheint, als ob Hardware-Load-Balancer dies nicht tun. Gibt es einen Grund dafür oder sollten wir darauf drängen?
(Für den letzten Wächter, der IE unter XP verwendet und kein SNI enthält, möchten wir Datenverkehr an die alte Farm senden und bei Bedarf das Proxying an die neue Farm verwalten.)
quelle
Ein Router arbeitet normalerweise nur auf OSI-Schicht 3, dh er überprüft nicht den Inhalt des Pakets, sondern nur die Ziel-IP. Für ein auf SNI basierendes Routing wäre ein Verständnis von TCP und TLS erforderlich, das sowohl komplexer als auch (in Bezug auf die Leistung) viel teurer ist als nur ein Routing basierend auf der IP-Adresse. Und das nennt man dann normalerweise auch nicht mehr Routing.
Sie mischen Router (Schicht 3), Hardware-Load-Balancer (Schicht 4 und möglicherweise höher) und Haproxy (Software-Load-Balancer). Ein Hardware-Load-Balancer ist nichts anderes als eine Appliance mit einem Software-Load-Balancer und möglicherweise auch einer Hardware-Beschleunigung für bestimmte Aktionen. Es gibt nichts, was einen Ausgleich (kein Routing) basierend auf SNI-Informationen auf einem Hardware-Load-Balancer von Natur aus unmöglich macht, und wie eine andere Antwort andeutet, gibt es Produkte, die dies unterstützen. Aber natürlich muss es implementiert werden und es kostet Leistung - je tiefer man den Verkehr betrachtet, desto langsamer wird er.
quelle