使用两个单独的 SSL 证书配置 F5 负载均衡器和 IIS Web 服务器

Question

我试图了解为什么特定的负载平衡器 --> Web 服务器配置有效，所以请允许我画图。

我有一个 F5 负载平衡器 (LB)，它将流量传递到 Web 服务器 (WSvr)。 WSvr 正在运行 IIS 8。

LB 有自己的 SSL 证书，即https://www.example.com。 WSvr 有一个单独的 SSL 证书，即https://myWebServer.example.com。

我预计这个 LB --> WSvr 配置会失败，但它确实有效，我真的不明白为什么。它不仅有效，而且我能够对托管在 WSvr 上的 Web 应用程序进行身份验证，这意味着会话始终保持活动状态。

我认为如果您选择在 LB 和 WSvr 上使用证书，则必须在两台机器上安装 相同 证书。即 LB IP 地址和 WSvr IP 地址必须映射到同一个 DNS 名称，即 www.example.com。不是两个完全独立的证书。 （在我的例子中，LB 映射到 www.example.com。WSvr 映射到 myWebServer.example.com。）LB 是如何与 WSvr 通信并保持会话活动的？

这是我对上述场景的典型请求的描述（根据实际发生的情况，这显然是不正确的，但它说明了我认为它会失败的原因）：

1. 获取https://www.example.com/login.html

2. LB 通过 LB 的 SSL 证书加密 www.example.com/login.html 并将其传递给 WSvr

3. 从请求中剥离 SSL，终止会话。 WSvr 使用自己的 SSL 证书重新加密它，创建一个新会话。

如果有人能启发和引导我走上正确的道路并解释我为什么不正确以及为什么上述配置有效，我将不胜感激。

非常感谢您的宝贵时间。

Answer 1

这里的关键是有两个独立的连接（会话），因此有两个独立的 SSL 握手，一个在客户端和 LB 之间，另一个在 LB 和后端之间。第一次握手验证客户端想要连接到https://www.example.com，第二次验证LB想要连接到https://myWebServer.example.com。 SSL 没有“剥离”。客户端发送的每个请求都经过这两个连接，所以实际上它被加密了两次。