Высокодоступный и безопасный интерфейс для веб-приложений за брандмауэром

Мой вопрос касается предлагаемой реализации высокодоступного и безопасного FrontEnd для WebApps за брандмауэром. Компоненты сети и их отношения следующие:

1) 2 сервера WebApps за брандмауэром (BackEnd), обозначенные GUI1 и GUI2, на которых запущены веб-приложения

2) 2 машины LB1 и LB2, расположенные в DMZ, настроены с плавающим IP-адресом в активном / резервном режиме для резервирования. Их задача

• чтобы обеспечить дополнительный уровень безопасности, выступающий в качестве прокси (они выполняют NAT для пакетов, поступающих из графического интерфейса)
• для обработки трафика на основе проверки файлов cookie (фактически единственное требование - обеспечить постоянство сеанса на основе файлов cookie, а не сложные методы LB)

Требования безопасности:

• Единственный приемлемый метод связи с графическим интерфейсом, который разрешен (явно через FireWall), - это обратный туннель SSH.
• Входящий во FrontEnd трафик - это чаще всего https (и немного http).

Возникает вопрос: какое программное обеспечение (с открытым исходным кодом) является лучшим вариантом для реализации на интерфейсных машинах LB1 и LB2 для реализации этих целей? Напомним, вкратце:

• Завершение SSL (по мере необходимости для проверки cookie)
• LB на основе файлов cookie
• активный / дежурный режим

У меня нет практического опыта в этой области, однако кажется, что NginX на LB1 и LB2 (для решения проблемы SSL и файлов cookie) вместе с HearBeat (для достижения желаемого свойства избыточности) должны работать.

Я знаю, что предлагаемая архитектура чем-то похожа на HAproxy или LVS (настроенные как два избыточных экземпляра), однако мне нужно решение, которое гарантирует одновременное выполнение всех описанных задач (например, HAproxy не поддерживает завершение SSL).

Любые комментарии и предложения приветствуются. Спасибо!