Atualmente, temos um farm de servidores da web que hospeda 2 aplicativos - ambos estão sendo executados em todos os servidores. Queremos dividir isso para termos um farm de servidores dedicado para cada aplicativo (temos boas razões para isso).
Esperávamos ter um único balanceador de carga na frente de todos os servidores, que direcionasse o tráfego para o farm correto com base no nome do host, mas queremos manter o SSL para os servidores da web.
Parece que os roteadores que estão sendo oferecidos não fazem isso. Entendo que, sem o SNI, isso é impossível, mas esperamos que os indicadores do SNI estejam em praticamente todo o nosso tráfego.
Agora sou um programador, não um profissional de rede, mas quando uma nova solicitação de conexão SSL é recebida, o roteador não pode examinar o cabeçalho SNI e encaminhar para o farm correto. Suponho que a conexão SSL de entrada seja identificada por {IP de origem: porta de origem}, portanto, não se lembra disso para pacotes de entrada subsequentes (se SNI estiver presente apenas no primeiro pacote)?
Até onde eu sei, o Haproxy faz isso, mas parece que os balanceadores de carga de hardware não. Existe alguma razão para isso ou é algo que devemos insistir?
(Para o último guarda que usa o IE no XP, que não inclui SNI, queremos enviar tráfego para o farm antigo e gerenciaremos o proxy para o novo farm quando necessário).
fonte
Um roteador geralmente funciona apenas na camada OSI 3, ou seja, não inspeciona o conteúdo do pacote, mas apenas o IP de destino. Para o roteamento baseado no SNI, seria necessário um entendimento do TCP e TLS, que é mais complexo e muito mais caro (em relação ao desempenho) do que apenas o roteamento baseado no endereço IP. E isso também geralmente não é mais chamado de roteamento.
Você está misturando roteador (camada 3), balanceador de carga de hardware (camada 4 e talvez superior) e Haproxy (balanceador de carga de software). Um balanceador de carga de hardware nada mais é do que um dispositivo com algum balanceador de carga de software e talvez também alguma aceleração de hardware para ações específicas. Não há nada que torne inerentemente impossível o balanceamento (não o roteamento) com base nas informações SNI em um balanceador de carga de hardware e, como outra resposta, sugere que existem produtos que suportam isso. Mas é claro que ele precisa ser implementado e custa desempenho - eles aprofundam a visão do tráfego quanto mais lento ele fica.
fonte