[Linux Virtual Server] hoe zit het met SSL certificaten?

[decramy]

Omdat onze webserver de requests niet meer kan handlen zijn we aan het denken over Load Ballancing.
LVS leek me een mooie oplossing

Nu zijn mijn hersenen eens aan de praat geslagen. Hoe zit het met SSL certificaten? Moet ik dan voor iedere machine in de cluster een certificaat aanschaffen?
Hoe zijn de ideeen hierover?

[ Voor 5% gewijzigd door decramy op 29-03-2005 10:13 ]

[stefklep]

Gewoon van de server die je nu gebruikt het certificate gewoon op alles server achter de lvs opzetten. Hoe wilden je het anders doen ? Ofwel gewoon die van nu gebruiken en op de rest van het cluster neer zetten.

[Spider.007]

Had je hier al eens tussen gekeken? Wat ik er van begrijp werkt SSL met een soort sessies die gewoon gedistribueert kunnen worden; wellicht kun je zelf toelichten hoe LVS precies werkt; en aan de hand daarvan beredeneren wat het antwoord is? Wellicht kun je intern gewoon HTTP gebruiken ofzo; en je loadbalancing machine SSL te laten encrypten? Of kan dat niet?

LVS icm https > [Linux Virtual Server] SSL encryptie ook mogelijk? *

[stefklep]

Spider.007 schreef op dinsdag 29 maart 2005 @ 10:28:
Had je hier al eens tussen gekeken? Wat ik er van begrijp werkt SSL met een soort sessies die gewoon gedistribueert kunnen worden; wellicht kun je zelf toelichten hoe LVS precies werkt; en aan de hand daarvan beredeneren wat het antwoord is? Wellicht kun je intern gewoon HTTP gebruiken ofzo; en je loadbalancing machine SSL te laten encrypten? Of kan dat niet?

LVS icm https > [Linux Virtual Server] SSL encryptie ook mogelijk? *

Ik dacht dat niet mogelijk is ik heb er nog nooit iets van gelezen volgens mijn kan je het beter in je ssl.conf gewoon zetten scheelt volgens mijn ook snelheid en als er iets gebeurt met je ssl kan gelijk iedereen niet meer inloggen op bv je webmail om dat er op de lvs iets aan de hand is en als er maar op 1 server iets aan de hands is kan toch nog iedereen inloggen lijkt mijn ook veiliger maar volgens mijn iets er zo iets niet hoor.

[decramy]

SSL heeft toch een host key? En aangezien LVS de verzoeken verdeelt over de machines zijn er meerdere hostkey`s.
Het zou kunnen dat k die hostkey op alle machines zet, maar dat lijkt me toch niet helemaal de bedoeling...

ps: we hebben een certificaat gekocht, om van die melding af te komen dat het uitgegeven is door een onbetrouwbare partij

[ Voor 23% gewijzigd door decramy op 29-03-2005 10:50 ]

[stefklep]

decramy schreef op dinsdag 29 maart 2005 @ 10:48:
SSL heeft toch een host key? En aangezien LVS de verzoeken verdeelt over de machines zijn er meerdere hostkey`s.
Het zou kunnen dat k die hostkey op alle machines zet, maar dat lijkt me toch niet helemaal de bedoeling...

ps: we hebben een certificaat gekocht, om van die melding af te komen dat het uitgegeven is door een onbetrouwbare partij

Ja maar als je die hostkey voor elke machine naar de zelfde website stuurt maak dat niks meer uit ze komen toch weer elke keer bij een andere server maar wel met het zelfde adres dus bv webmail.test.nl komt bij server 1 en dan weer bij server 2 dus dit zal geen verschil uitmaaken heb het hier ook zo draaien gewoon meerde machine's met de zelfde key en werkt perfect. Anders moet je voor elke machine een nietwe aanschraffen lijkt me een beetje duurde bezig heid of je moet geld over hebben .

[decramy]

stefklep schreef op dinsdag 29 maart 2005 @ 11:00:
[...]


Ja maar als je die hostkey voor elke machine naar de zelfde website stuurt maak dat niks meer uit ze komen toch weer elke keer bij een andere server maar wel met het zelfde adres dus bv webmail.test.nl komt bij server 1 en dan weer bij server 2 dus dit zal geen verschil uitmaaken heb het hier ook zo draaien gewoon meerde machine's met de zelfde key en werkt perfect. Anders moet je voor elke machine een nietwe aanschraffen lijkt me een beetje duurde bezig heid of je moet geld over hebben .

Maar dat is toch niet de bedoeling officieel? Hoe doen grote websites dit? (sourceforge bv)

[ Voor 8% gewijzigd door decramy op 29-03-2005 13:12 ]

[StefSybo]

Dat mag gewoon, een certificaat is verbonden aan een bepaalde website en niet aan een server, dus alle servers die die website serveren kunnen gewoon dat certificaat gebruiken.

[stefklep]

decramy schreef op dinsdag 29 maart 2005 @ 13:12:
[...]

Maar dat is toch niet de bedoeling officieel? Hoe doen grote websites dit? (sourceforge bv)

Dacht jij zo iets al sourceforge elke keer een certificate ging kopen voor elke nieuwe server dat kost klouwen met geld je zou wel gek zijn ik weet van heel veel bedrijfen die het zo al jaren doen gewoon neer zetten op de andere server ssl.conf even opzetten en klaar is kees en kost nog veel werk anders ook om elke keer een nieuwe aantevragen

Ik zou eigenlijk willen zetten ga er eens mee aan de slag.