F5またはZUUl/Eureka/ServicesでのSSL終了？

Question

Spring Cloud Netflix、Eureka、およびZuulを使用して、私たちの環境でいくつかのサービスを実行しています。また、サービスの開発にはSpring Bootを使用します。

また、外部リクエストを受信し、設定されたルールに基づいてZUULインスタンスの1つにルーティングするハードウェアロードバランサとしてのF5。

今のところ、サービス間の通信にHTTPを使用しています。 HTTPS経由ですべての通信を保護する必要があります。

ZUULとEurekaを含むすべてのサービスは、フェールオーバーのために別々のマシンに2つのインスタンスでスケールアップされます。

私の質問は、Eureka、ZUUL広告、その他のダウンストリームサービス（OR）を含む各サービスに対してHTTPSをセットアップして有効にする必要があります.F5にのみHTTPSを使用することは可能ですか？他のインスタンスをHTTP自体に残します。

ほとんどのロードバランサが提供するSSL Termination/off-loadという機能について聞いたことがあります。私はF5がそれをサポートしているかどうかはわかりません。それがサポートされていれば、それをHTTPSにのみ使用し、残りはHTTPのままにしておきます。

これは、各インスタンス（将来的に負荷に応じて変更される可能性があります）に対してSSLを設定する際の複雑さを軽減し、SSL解読と暗号化に内在する遅さを減らすことができると思います。

eureka/zuulおよびダウンストリームサービスを含むすべてのインスタンスを保護するか、F5だけでssl-terminationを実行する必要がありますか。

Answer 1

バックエンドエンドポイントがHTTPSの場合、ロードバランサはコンテンツを検査できないため、TCPレイヤで負荷分散を行う必要があります。ロードバランサエンドポイントがHTTPS自体である場合、内部トラフィックを暗号化するポイントはほとんどなく、ロードバランサはトラフィックを検査し、トラフィックのルーティング先（スマートセッションなど）をスマートに決定できます。アプリケーションのエンドポイントが元の要求がHTTPS（多くの場合）であることを知る必要がある場合は、HTTPヘッダーが内部レグに追加されて、これを宣言します。デファクト・コンベンションはX-FORWARDED-PROTOヘッダーです。

LB-to-appレッグをクリアにする場合は、セグメントを信頼できるものにして、LBをバイパスしてアプリケーションのエンドポイントに直接アクセスできないようにする必要があります。