Назад | Перейти на главную страницу

Запуск HTTP- и HTTPS-соединений для одного домена (скажем, www.example.com) через конечную точку Cisco ACE SSL

Конфигурация моего веб-приложения имеет балансировку нагрузки Cisco ACE на ферме серверов, и я также хочу использовать ACE в качестве конечной точки SSL. Чтобы заставить эту работу работать, сетевой архитектор разработал схему, в которой все защищенные страницы должны обслуживаться с secure.my-domain.com, а незащищенные страницы обслуживаются с www.my-domain.com. Причина этого, по-видимому, заключается в том, что настройка Cisco ACE для приема запросов HTTPS на порту 443 для определенного общедоступного IP-адреса предотвращает одновременный прием HTTP-запросов на порт 80 для того же IP. Хотя я не специалист по сетям (или Cisco), это кажется интуитивно неправильным, поскольку это помешает любому веб-сайту, использующему Cisco ACE, обслуживать страницы на http://www.my-domain.com и https://www.my-domain.com одновременно. В этой ситуации мои вопросы:

  1. Действительно ли это ограничение Cisco ACE при использовании в качестве конечной точки SSL?
  2. Если нет, то могу ли я предположить, что мы можем настроить ACE для приема соединений для определенного IP-адреса на портах 80 и 443 и работать в качестве конечной точки SSL для входящих запросов на 443? Здесь приветствуются ссылки на соответствующую документацию.
  3. Предполагая настройку в предыдущем вопросе, могу ли я затем перенаправить оба набора запросов на одну и ту же ферму серверов на одном и том же порту?

Это неправда. Вы можете настроить as для балансировки нагрузки HTTP и HTTPS трафика на один и тот же VIP.

Пример конфигурации:

rserver host web-01
  ip address 10.x.x.x
  probe SIMPLE-ICMP-PROBE
  inservice
rserver host web-02
  ip address 10.x.x.x
  probe SIMPLE-ICMP-PROBE
  inservice


serverfarm host 055-SFARM
  predictor leastconns slowstart 120
  probe SIMPLE-HTTP-PROBE
  rserver web-01 80
    inservice
  rserver web-02 80
    inservice


class-map match-all VIP:443
  10 match virtual-address 10.1.1.2 tcp eq https
class-map match-all VIP:80
  10 match virtual-address 10.1.1.2 tcp eq www


policy-map type loadbalance first-match VIP:443-POLICY
  class class-default
    serverfarm 055-SFARM
policy-map type loadbalance first-match VIP:80-POLICY
  class class-default
    serverfarm 055-SFARM


policy-map multi-match VIP-SPOLICY
  class VIP:80
    loadbalance vip inservice
    loadbalance policy VIP:80-POLICY
    loadbalance vip icmp-reply active
  class VIP:443
    loadbalance vip inservice
    loadbalance policy VIP:443-POLICY
    loadbalance vip icmp-reply active
    ssl-proxy server SSL-PROXY-WITH-CERT