SSL соединение между двумя серверами?

Question

[nana141414]

server 1

server {
    listen              443 ssl;

    ssl_certificate           /etc/cert.crt;
    ssl_certificate_key    /etc/cert.key;

    location /pro/ {
        proxy_pass https://server-2/;
    }
}

server 2

server {
    listen              443 ssl;

    ssl_certificate         /etc/cert.crt;
    ssl_certificate_key  /etc/cert.key;

    location /pro/ {
        proxy_pass http://nodejs_app/;
    }
}

Между серверами будет ssl соединение? Как мне продебажить это? Спасибо

Answer 1

[Daemon23RUS]

proxy_pass https://server-2/; - SSL
proxy_pass http://nodejs_app/; - без шифрования
Это если сервера отдают контент по умолчанию 443 порт SSL(HTTPS) а 80 порт HTTP

Answer 2

[ky0]

Где в proxy_pass указана схема https - шифрование будет.

Продебажить что, обмен зашифрованными данными? Если есть такая необходимость, лучше наоборот выключите https. Ну или сделайте финт ушами - заведите на первом хосте локальный серверный блок на кастомном порту без шифрования, а уже с него проксируйте вдаль через https. Тогда можно будет увидеть трафик "как бы" между server1 и server2.

Comments

[nana141414]

Где в proxy_pass указана схема https - шифрование будет.

1 сервер проксирует 2 сервер. При шифровании будут использованы ключи, указанные в ssl_certificate в 1 и 2 серверах? Как я понимаю для ssl нужны ключи с обеих сторон.

Меня просто смутил другой директив - proxy_ssl_certificate. Зачем он нужен если есть ssl_certificate

[ky0]

nana141414, для HTTPS-коннекта действительно нужно два ключа - публичный и приватный, но оба они располагаются на сервере (там, куда подключаются). Сеансовые ключи на клиенте генерируются прозрачно.

proxy_ssl_certificate вам не нужен.

[Daemon23RUS]

nana141414,

Меня просто смутил другой директив - proxy_ssl_certificate. Зачем он нужен если есть ssl_certificate

proxy_ssl_certificate (и proxy_ssl_certificate_key к нему) нужны чтобы авторизовать ваш проксирующий nginx на 2м сервере (когда там настроен доступ по сертификату) Это уместно в кейсе, когда нужно чтобы доступ ко 2му серверу был только у 1го (или только у тех, кто имеет сертификат для доступа)