关于 HTTPS 负载均衡问题

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

This topic created in 2070 days ago, the information mentioned may be changed or developed.

以前做 HTTPS 都是在负载均衡这一层做的

最近看 golang 发现 gin 框架有 HTTPS 的支持，官方代码如下：

package main

import (
	"log"

	"github.com/gin-gonic/autotls"
	"github.com/gin-gonic/gin"
)

func main() {
	r := gin.Default()

	// Ping handler
	r.GET("/ping", func(c *gin.Context) {
		c.String(200, "pong")
	})

	log.Fatal(autotls.Run(r, "example1.com", "example2.com"))
}

那么问题来了，如果应用本身起来就是一个 HTTPS，像上面这样，那我负载均衡那一层应该怎么做？

gin

func

负载

log

9 replies • 2020-09-27 11:45:31 +08:00

Judoon

Sep 25, 2020

没什么差别啊，
负载均衡向 upstream server 转发的协议从 http 换成 https 而已
顺带如果 upstream server 的证书是自签的就加上不验证证书的选项

chendy

Sep 25, 2020

那么问题来了，已经有一层反代做 https 了，应用为啥还需要 https

darrh00

Sep 25, 2020

如果第一层到 upstream 的链路是不安全的，就应该用 https

imherer

Sep 25, 2020

@chendy 可能是我没表述清楚。
我的意思是应用层已经是 HTTPS 了，而且看它这个 demo 是直接绑定了域名了
负载均衡怎么做呢？因为域名已经绑在应用这一层了

imherer

Sep 25, 2020

@Judoon
@darrh00
谢谢我再研究研究

suconghou

Sep 25, 2020

这样负载均衡可以用 nginx sni proxy 来做,但一般的做法都是流量到达集群后解密,而不是交给应用层解密;在集群解密抓包 debug,路径分流,服务拆分都更方便些

goodryb

Sep 25, 2020

@imherer #4 负载均衡可以做 4 层 tcp 的啊，只是纯流量转发，https 应用侧来处理就好了

xuanbg

Sep 25, 2020

负载均衡不是一般都用 Nginx 的 upstream 吗？

Judoon

Sep 27, 2020

@imherer #4
"我的意思是应用层已经是 HTTPS 了，而且看它这个 demo 是直接绑定了域名了
负载均衡怎么做呢？因为域名已经绑在应用这一层了"

我粗看了 go-ginic 的 autotls，好像用的是 acme 来自动申请证书。他这个 demo 传域名是为了申请证书，而如果你在应用启动前又没有证书，那前面的负载均衡就做不了 7 层的，会陷入先有鸡先有蛋的问题。你可以做 4 层的负载均衡。

如果你已经有了证书，域名的 ip 是指向到前置的负载均衡的，负载均衡再向后端转发时就必须配置 ip 端口，外加 sni 域名
#6 说的 nginx sni proxy 大概就是如下

proxy_pass https://1.2.3.4;
proxy_read_timeout 60;
proxy_ssl_name $host;
proxy_ssl_server_name on;
proxy_ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
proxy_ssl_session_reuse off;