Мы являемся мультитенантной службой и завершаем наш SSL на наших балансировщиках нагрузки (HAProxy + Apache для завершения SSL), это вызывает растущие проблемы из-за требований к выделенному IP. Но времена изменились, и мы рассматриваем возможность перехода на SNI, поэтому я надеялся получить обоснованное мнение на 2015 год о принятии этого стандарта в качестве нашего стандарта.
Я собираюсь обрисовать наши предположения:
Правильно ли я предполагаю, что сейчас SNI практически глобально поддерживается?
... и ...
Есть ли другие сценарии, которые могут повлиять на поддержку?
... и наконец ...
Теперь, когда HAProxy 1.5 поддерживает завершение SSL напрямую, есть ли в вашем опыте какие-либо предостережения, напрямую связанные с SNI, которые повлияют на нашу способность развертывать эту услугу?
Правильно ли я предполагаю, что сейчас SNI практически глобально поддерживается?
Если рассматривать браузеры - да.
Если вам приходится иметь дело с другими приложениями - не совсем:
Правильно ли я предполагаю, что сейчас SNI практически глобально поддерживается?
По сути, да - хотя вы, вероятно, столкнетесь с некоторыми пользователями крайнего случая, которые будут жаловаться на неисправность, если потребуется SNI. Если у вас есть возможность сказать этим людям «используйте браузер этого десятилетия, пожалуйста» для ваших услуг, тогда все готово.
Есть ли другие сценарии, которые могут повлиять на поддержку?
Поддержка ОС браузером / клиентом - большая проблема, хотя я могу представить себе некоторые другие забавные проблемы с корпоративными сетями, использующими завершающие прокси SSL, которые не поддерживают передачу SNI-части рукопожатия TLS, что также нарушит SNI.
Теперь, когда HAProxy 1.5 поддерживает завершение SSL напрямую, есть ли в вашем опыте какие-либо предостережения, напрямую связанные с SNI, которые повлияют на нашу способность развертывать эту услугу?
Я не могу напрямую говорить о предостережениях с HAProxy - мы используем его завершение SSL, но не SNI поверх него.