haproxy https load balancing

[ziminv]

Добрый день
Есть два сервера apache (зеркальные) на разных инстансах с 20-кой сайтов
Надоела балансировка средствами dns, решил настроить балансировку HAproxy по активным сессиям (leastconn).
На каждом сайте висит сертификат от letsencrypt.

хотел бы узнать нужно ли мне использовать SNI?

по простому, запрос прилетает по http, HAproxy его перенаправляет на сервак с меньшим количеством коннектов, средствами apache идет редирект на https и дальнейшее взаиможействие происходит по https.

 

[AnrDaemon]

хотел бы узнать нужно ли мне использовать SNI?

Ваш вопрос не кажется глупым вам самому?
Что даёт использование SNI в HTTPS?
Пользователь добавил сообщение 01 Марта 2018, 16:58:06:

HAproxy его перенаправляет

haproxy ничего не "перенаправляет". Вообще. HAproxy ПРОКСИРУЕТ. Или пересылает, если хотите обывательскую лексику.

[ziminv]

Что даёт использование SNI в HTTPS?

Если я правильно понял, то это способность позволяющее браузеру указать имя веб-сервера, с которым он пытается установить соединение. SNI необходимо для того, чтобы на одном IP-адресе могли корректно откликаться по HTTPS веб-серверы, размещённые под разными доменами.

я приписываю apache vhosts тудаже, или я ошибаюсь?

[AnrDaemon]

SNI необходимо для того, чтобы на одном IP-адресе могли корректно откликаться по HTTPS веб-серверы, размещённые под разными доменами с разными именами

Именно!

[ziminv]

А, понял, именно "web-servers" а не их "vhosts" веб сервера. Значит это больше подходит хостингу. Мне SNI не нужна.
Пользователь добавил сообщение 01 Марта 2018, 17:57:26:
тогда подкорректируйте почему "один ip" из этой фразы:

(Нажмите, чтобы показать/скрыть)

"Что ж, а теперь возьмем случай, когда на каждом сайте свой сертификат, причем не самоподписанный, а купленный. И в нем есть строгая привязка к имени сайта. В этом случае мы можем решить вопрос двумя способами: разместить сертификаты для сайтов на HAProxy сервере или проксировать TCP вместо HTTP. Но в обоих случаях мы не сможем обойтись одним IP адресом для двух наших сайтов."

https://habrahabr.ru/post/244027/


Пользователь добавил сообщение 01 Марта 2018, 20:25:18:наверно будит проще спросить как настроить балансировку между двумя инстансами с поддержкой ssl?
есть успешный опыт?
Пользователь добавил сообщение 01 Марта 2018, 20:33:35:или перенести все существующие сертификаты на HA?

[AnrDaemon]

А, понял, именно "web-servers"

Как именно "веб-сервер" называется на языка каждого отдельного веб-сервера - virtualhost, server или backend, это личное дело веб-сервера.

Не надо ничего "переносить". Линк между HA и бэками тоже должен быть защищён. И лучше будет включить HTTP/2 между HA и бэком, чтобы уменьшить расходы на установление соединения.