ใบรับรอง ssl ใดไปที่ใดใน reverse proxy - nginx

ต้องการคำชี้แจงสำหรับอัพสตรีม SSL บนพร็อกซีเซิร์ฟเวอร์ nginx reverse

ฉันอ่านเอกสาร nginx เกี่ยวกับ reverse proxyและการรักษาความปลอดภัยการเชื่อมต่อ ssl กับเซิร์ฟเวอร์ต้นน้ำแต่ฉันยังสับสนว่าใบรับรอง ssl ไปที่ใด หลายตัวอย่างที่ฉันพบมี nginx proxying localhost แต่สถานการณ์ของฉันมีจุดสิ้นสุดบนเซิร์ฟเวอร์พอร์ตและตำแหน่งทางกายภาพที่แตกต่างกัน

ฉันต้องการแก้ไขหลายโดเมนที่เซิร์ฟเวอร์ nginx โดเมนเหล่านั้นแต่ละโดเมนมีใบรับรอง ssl บนเซิร์ฟเวอร์ปัจจุบันสำหรับชื่อโดเมนจริง

ตอนนี้ฉันมีเซิร์ฟเวอร์แต่ละเครื่องที่ทำงานที่ตำแหน่งเครือข่ายและตำแหน่งทางกายภาพของตัวเอง แต่ฉันต้องการมีจุดเดียวในการจัดการปลายทาง

ผลลัพธ์สุดท้ายของฉันควรมีลักษณะดังนี้

                             client
                               |
                             nginx
                       https://example1.com
                       https://example2.com 
                       https://example3.com
                             x.x.x.x
                               |
               -----------------------------------------
               |                |                      |
https://example1.com    https://example2.com    https://example3.com
   a.b.c.d:1234             e.f.g.h:5678            i.j.k.l:9012

ตอนนี้https://example1.com เปลี่ยนเป็น abcd: 1234 ซึ่งติดตั้งใบรับรอง ssl ของตัวเองแล้ว เนื่องจากฉันต้องการแสดงให้ลูกค้าทราบว่าเซิร์ฟเวอร์ nginx ให้บริการสำหรับโดเมน example1.com ฉันคิดว่าฉันต้องการให้ ssl example1.com ย้ายไปที่เซิร์ฟเวอร์ nginx frontrunning ใช่ไหม ถ้าฉันทำเช่นนั้นฉันจะใช้ใบรับรอง ssl ใดบน abcd: 1234 เพื่อรักษาการเชื่อมต่อต้นทางที่ปลอดภัย

เอกสาร nginx กล่าวว่า client.crt และ server.crt แต่ CA ใช้โดเมนเพื่อลงทะเบียนสิ่งเหล่านี้ ไคลเอนต์และเซิร์ฟเวอร์ในสถานการณ์ย้อนกลับพร็อกซีคืออะไร? สำหรับฉันลูกค้าคือเบราว์เซอร์ที่ทำการร้องขอ

ใบรับรอง ssl ใดไปที่ใดใน reverse proxy

แก้ไข:

ฉันรู้อยู่แล้วว่าคุณสามารถดูเหมือนว่าคุณมีการเชื่อมต่อที่ปลอดภัยเพียงแค่วางใบรับรองตาม URL บนพร็อกซีเซิร์ฟเวอร์ สิ่งที่ฉันหวังว่าจะรู้คือใบรับรอง ssl ใดที่จะใส่ในเซิร์ฟเวอร์แบ็กเอนด์ เพียงแค่ใช้ใบรับรองของตนซ้ำ? สามารถexample1.com.crtไปได้ทั้งบนพร็อกซีเซิร์ฟเวอร์และเซิร์ฟเวอร์แบ็กเอนด์?

ใบรับรองของโดเมนควรอยู่ในตำแหน่งที่ไคลเอนต์ "เห็น" ดังนั้นในกรณีของคุณหากคุณต้องการให้เฉพาะเซิร์ฟเวอร์ nginx พร้อมใช้งานจากอินเทอร์เน็ตใบรับรองสาธารณะทั้งหมดควรไปที่เซิร์ฟเวอร์ nginx

หากคุณต้องการรักษาความปลอดภัยการเชื่อมต่อแบ็กเอนด์คุณสามารถใช้ใบรับรองใดก็ได้ที่คุณต้องการบนเซิร์ฟเวอร์เหล่านั้น คุณยังสามารถใช้การลงนามด้วยตนเองและปิดใช้งานการตรวจสอบใบรับรองบนเซิร์ฟเวอร์ nginx ได้ แต่การสร้าง CA ของคุณเองและแจกจ่ายใบรับรองไปยังแบ็กเอนด์จะดีกว่า

การกำหนดค่าของคุณจะดูเหมือนคุณวาดทุกประการยกเว้นว่าเซิร์ฟเวอร์แบ็กเอนด์จะมีใบรับรองภายในที่ตรงกับชื่อ "ภายใน":

                                                 client
                                                   |
                                                 nginx
                                           (https://example1.com)
                                           (https://example1.com)
                                           (https://example1.com)
                                                    |
            +---------------------------------------+-----------------------------------+
            |                                       |                                   |
            |                                       |                                   |
https://example1.internal.local/   https://example2.internal.local/   https://example3.internal.local/
       a.b.c.d                                  e.f.g.h                               i.j.k.l

หากเซิร์ฟเวอร์แบ็กเอนด์สามารถเข้าถึงได้จากอินเทอร์เน็ตคุณอาจต้องการไฟร์วอลล์พอร์ต https เพื่อให้เซิร์ฟเวอร์ nginx เท่านั้นที่สามารถเชื่อมต่อได้

เกี่ยวกับคำถามของคุณเกี่ยวกับไคลเอนต์และเซิร์ฟเวอร์: ในระบบเครือข่ายไคลเอนต์คือผู้เริ่มการเชื่อมต่อ ดังนั้นในการตั้งค่าของคุณเบราว์เซอร์จึงเป็นไคลเอนต์และเซิร์ฟเวอร์ nginx เป็นไคลเอนต์และเซิร์ฟเวอร์ในเวลาเดียวกันซึ่งเป็นเซิร์ฟเวอร์สำหรับเบราว์เซอร์ แต่เป็นไคลเอนต์สำหรับเซิร์ฟเวอร์แบ็กเอนด์

มีความเป็นไปได้ค่อนข้างมากนี่คือ 2:

1. คุณมีใบรับรอง 1 รายการใน reverse proxy ที่มีโดเมนทั้งหมดของคุณโดยใช้SAN
2. คุณเปลี่ยนเส้นทางทุกโดเมนจาก nginx ของคุณไปยังเซิร์ฟเวอร์ที่เกี่ยวข้องเขียน URL ใหม่

ไม่ว่าคุณจะให้ไคลเอ็นต์ของคุณสื่อสารกับพร็อกซีย้อนกลับของคุณ แต่เพียงผู้เดียว (1) และ nginx จะจัดการการเชื่อมต่อไปยังเซิร์ฟเวอร์ต้นน้ำหรือคุณให้ nginx บอกให้ลูกค้าของคุณเชื่อมต่อกับเซิร์ฟเวอร์อื่น (2) ซึ่งจำเป็นต้องมี IP / DNS / ใบรับรองสาธารณะ ของพวกเขาเองแล้ว

คุณสามารถ (และอาจควร) เข้ารหัสการรับส่งข้อมูลระหว่างพร็อกซีย้อนกลับของคุณและเซิร์ฟเวอร์ต้นน้ำโดยใช้ใบรับรองขึ้นอยู่กับโครงร่างเครือข่ายของคุณ สำหรับสิ่งนี้คุณยังคงต้องมีใบรับรองสำหรับเซิร์ฟเวอร์ต้นน้ำทุกเครื่อง แต่ก็สามารถเซ็นชื่อด้วยตนเองได้ (แต่ไม่ควร)

หากคุณใช้บางอย่างเช่น Let's Encrypt การสร้าง SAN ในใบรับรองนั้นค่อนข้างง่ายในปัจจุบันดังนั้นฉันมักจะใช้ตัวเลือกที่ 1