56418


ロードバランサー直下に設置したサーバは、以下の様にサブドメインを紐づけてSSL化すればいいのでしょうか?  
また、SSL化が終わったロードバランサー直下のサーバはロードバランサー以外からの接続をNGにすれば宜しいのでしょうか?

ロードバランサーのドメイン: srv.example.jp

ロードバランサー直下のサーバのドメイン  
srv1.example.jp  
srv2.example.jp  
srv3.example.jp

[code]

    certbot certonly --webroot --webroot-path  /var/www/html -d srv1.example.jp 
    certbot certonly --webroot --webroot-path  /var/www/html -d srv2.example.jp 
    certbot certonly --webroot --webroot-path  /var/www/html -d srv3.example.jp 
    
[/code]

以上、宜しくお願い致します。


CC BY-SA 4.0
2019-07-05T06:38:19.920
56412
2019-07-06T00:00:24.843
2019-07-05T11:31:49.543
3060
27919
question
apache ssl letsencrypt
ロードバランサー直下のサーバのSSL化(Let's encrypt)の方法は以下であってますでしょうか？


各サーバーで取得するSSL証明書には、自ホストのドメイン名に加えて、LBのドメイン名が記載されるようにするのが良いと思います。 `-d`
オプションを追加すれば 良いみたいなので試してみてください。

certbot certonly --webroot --webroot-path /var/www/html -d srv1.example.jp -d
srv.example.jp  
certbot certonly --webroot --webroot-path /var/www/html -d srv2.example.jp -d
srv.example.jp  
certbot certonly --webroot --webroot-path /var/www/html -d srv3.example.jp -d
srv.example.jp


CC BY-SA 4.0
2019-07-05T09:08:06.143
56418
2019-07-05T09:08:06.143
5008
56412
answer


ロードバランサを用いる場合、SSL(TLS)の構成には2通りあります

## SSL(TLS)の終端をロードバランサが行う

この場合、証明書はロードバランサが持つ形になります。CNはユーザーがアクセスしてくるホスト名=ロードバランサのホスト名になります。実サーバにはロードバランサがHTTPでアクセスするので証明書は不要です。

## SSL(TLS)の終端は実サーバが行い、ロードバランサはSSL(TLS)を透過する

証明書は実サーバが持ちます。CNはユーザーがアクセスしてくるホスト名なので、上と同様ロードバランサのホスト名になります。ロードバランサは通信をトンネルするだけなので、証明書は不要です。

いずれにせよ、実サーバのホスト名を持つ証明書はアクセスしてくるユーザーに対するサービス上は必須ではありません。システム構成上、または管理上必要でない限り、安易に実サーバのホスト名を持つ証明書を発行しないようにしましょう。

> また、SSL化が終わったロードバランサー直下のサーバはロードバランサー以外からの接続をNGにすれば宜しいのでしょうか?

ロードバランサがリバースプロキシ型の場合はその通りです。トランスペアレント/NAT型の場合、サーバからはクライアントが直接接続してくるように見えるので、接続を制限してはいけません(というかできません)


CC BY-SA 4.0
2019-07-06T00:00:24.843
56435
2019-07-06T00:00:24.843
5793
56412
answer