![反向代理和 SSL,我应该使用相同的证书吗](https://linux22.com/image/670918/%E5%8F%8D%E5%90%91%E4%BB%A3%E7%90%86%E5%92%8C%20SSL%EF%BC%8C%E6%88%91%E5%BA%94%E8%AF%A5%E4%BD%BF%E7%94%A8%E7%9B%B8%E5%90%8C%E7%9A%84%E8%AF%81%E4%B9%A6%E5%90%97.png)
目前,我正在使用 nginx 作为 https 上的反向代理,并且代理的所有内容本身都是通过 https 进行的。 SSL 终止发生在 Nginx 上,由于流量是通过 https 传输的,因此在继续传输之前会再次加密。
我的第一反应是,我的面向公众的服务器必须使用签名证书并使用来自 nginx 的 SSL 直通。结果 nginx 不允许你这样做。因此我开始研究 haproxy,因为它可以进行 SSL 直通。
读了很多资料后,我开始怀疑这些是否真的很重要。我可以在自己的网络内使用自签名证书。
是否有理由在 nginx / haproxy 上使用与我的服务器相同的证书?是否有理由不对内部流量使用自签名证书?
答案1
从技术角度来说,没有理由要求您在内部服务器上使用外部证书,除非您的配置中内部服务器也可以从外部直接访问,但这在大多数环境中似乎不太可能发生。
在您控制 SSL 连接两端的环境中,自签名是可以的,HAProxy 的后端和内部应用程序服务器的前端就是这种情况。
答案2
我认为使用内部证书是更好的解决方案。出于安全原因,您不会增加额外的机会来破坏您的公共证书。