ssl - 负载均衡器下两台服务器共用的 CA

Question

我想在两台服务器设置上设置 TLS 身份验证，并使用负载均衡器在它们之间传播流量。我无权访问负载均衡器，因此我需要分别设置两台服务器。我需要一个由我自己的 CA 签名的证书，我可以将其传递给我想要进行身份验证的客户端。我知道可以创建两个服务器通用的 CA，但我不确定如何。是否像在每台服务器上创建一个具有相同配置的 CA 一样简单？

我会很感激一些指导。

Answer 1

TLS 使用 TCP 连接，所以负载均衡器只会平衡 TCP 连接的建立。之后，客户端将绑定到两台服务器中的任何一台。

服务器向其客户端提供的证书应与负载均衡器的 URL 或 IP 匹配，以便客户端可以检查证书是否与他们打算连接的证书匹配。

如果您公开客户端可以访问的后端服务器（例如，因为负载平衡器重定向连接，而不是隧道连接），您的服务器可能需要通配符证书。