系统目录 › 网关 › INSSLR－带有 SSL 支持的冗余 HTTP 输入网关

INSSLR－带有 SSL 支持的冗余 HTTP 输入网关

最新版本：2.0.2-1

功能概述

INSSLR 组件是安全 HTTP 请求的第 7 层网关。 它将请求转换为未编码的 HTTP 请求。 需要支持客户端的安全 HTTP 时，可随时使用它，但是后端处理基础架构不支持或无法支持 SSL，其中包括：

• 使用没有 SSL 支持的、快速的轻型 HTTP 服务器
• 使用针对性能或冗余的多个后端服务器，这些服务器通过负载均衡交换机连接
• 使用针对无关功能的多个后端服务器，这些服务器通过 URL 交换机连接
• 将 SSL 加密/解码卸载到单独的服务器，以改进吞吐量

如果已配置，则 INSSLR 也支持客户端证书身份验证。 在进行 SSL 相互身份验证的情况下，客户端和服务器都将交换各自的证书和相应公钥。 客户端可以联系发布服务器证书的认证机构 (CA Technologies)，并确认证书是真实的，然后进行操作。 服务器也可能这样做。

在其默认配置中，INSSLR 充当安全 HTTP 请求的第 7 层网关，同时也提供了有防火墙的入口点，让网络流量进入 CA 3Tera AppLogic 应用，可以使用 Internet 可访问的静态 IP 地址配置该应用。

在配置时，可以在故障切换模式下使用两个 INSSLR 组件来提供冗余服务。 在这种情况下，INSSLR IP 地址（通过 ip_addr 配置）仅在其中一个节点上运行，并在失败时自动转移到另一个 INSSLR 组件。 在任何给定时间，只有一个 INSSLR 组件处于活动状态。 在故障切换模式下运行时，可以将 INSSLR 配置为在以下几种模式下运行：

• 非对称－其中一个组件是主组件，每当其联机时，就接管 IP 地址并变为活动状态。 仅当主节点失败（或被停止）时，备份组件才变为活动状态。 每当主组件再次变得可用时，它将接管 IP 地址并变为活动状态。 主组件是具有最低 IP 地址（通过字符串比较）的一个组件，该地址在 fover_local_ip 属性中设置。
• 对称－这两个组件都是主组件，先启动的组件接管 IP 地址并变为活动状态。 仅当第一个组件失败（或被停止）时，另一个组件才变为活动状态。 每当第一个组件再次变得可用时，它不会自动接管 IP 地址。

在冗余模式下运行时，INSSLR 在其 ctl 终端上提供一个界面，用于：

• 强制 INSSLR 变为主组件
• 强制 INSSLR 变为备份组件
• 检查 INSSLR 的状态（主组件/备份组件）

INSSLR 持续不断地监控连接到其 http 终端的后端组件的运行状况。 INSSLR 执行的运行状况检查可能包含简单的 TCP 连接检查或更复杂的 HTTP 请求（在 INSSLR 的边界上指定）。 在连接的组件失败时，INSSLR 会将错误报告给网格显示板，或者（如果处于冗余模式并配置为这样做）故障切换到备份 INSSLR 组件。

要支持需要在多个服务的单个 IP 地址中显示的应用，可将 INSSLR 配置为将非 HTTP 流量透明地定向到单独的输出终端。 对于此类连接，组件充当第 3 层防火墙/NAT 路由器。

边界

资源

用于 CA 3Tera AppLogic 2.7 版本的默认内存已更改为 128 MB。 最小内存仍为 64 MB。

说明

• 在故障切换模式下使用 INSSLR 时（fover_mode 不是 none），最小内存为 100M。

分配给 INSSLR 的内存量不影响其吞吐量。 使用更多内存只为了支持更多并发请求，这样后端服务器可以在更长的时间段内保留请求。

终端

属性

运行状况检查属性

高级属性（用于故障切换方案）

卷

错误消息

在组件启动失败的情况下，系统日志可能记录以下错误消息：

性能

应用故障切换

INSSLR 用大约 10 秒检测其他 INSSLR 的故障。 它再用 10 秒故障切换到其他应用。 从最初发生应用故障到其他应用接管流量的总时间大约为 20 秒。

请求速率

INSSLR 每秒路由的事务数不少于 3000 个（请求/响应对），此速率受文档大小和可用网络带宽的限制。

数据吞吐量

INSSLR 路由速率不低于 7 MB/秒，受文档大小和可用网络带宽的限制

并发连接数

在使用默认内存的情况下，INSSLR 支持不少于 500 个并发的未决请求。 （未决请求是来自客户端的开放 TCP 连接，其中有一个或多个未完成的 HTTP 请求正在进行中）。 最大并发连接数取决于可用内存。 每增加 16 MB 内存可将并发的 http 事务数增加 500。 例如：如果在冗余模式下运行并且要提供 2000 个并发连接，则需要 100M+3*= 148M（以冗余模式运行的最小内存为 100M）。

通知

在以冗余模式运行（fover_mode 不是 none）时，每当 INSSLR 变为主动/被动时都将触发通知。 在活动节点启动时或每当发生故障切换时，将会触发通知（每个节点发送有关 INSSLR 变为主动/被动的通知）。

INSSLR 发送两则通知：

• 发送到网格显示板的通知：INSSLR 组件 APP_NAME:COMP_NAME <acquired|gave up> resource ip_addr
• 通过 nfy 终端发出 http 请求。 由接收端根据通知采取相应的操作。 请求的 URL 是：

  http://nfy/fover_nfy_prefixfover_mode=fover_mode&state=<start|stop>&ip_addr=ip_addr&fover_local_ip=fover_local_ip&fover_remote_ip=fover_remote_ip&fover_netmask=fover_netmask

  您可以使用 fover_nfy_prefix 来更改所调用的远程脚本的位置或/和添加其他参数。 fover_nfy_prefix 值的示例：/path/to/script.php?, /path/to/script.php?username=user&password=pass&。

重要信息！

• 当使用不同于默认值的 fover_nfy_prefix 时，如果 fover_nfy_prefix 只是路径， 请确保该值以问号 (?) 结尾；如果 fover_nfy_prefix 包括其他参数，请使用 &。
• 如果某个节点不可用，该节点可能无法发送有关 INSSLR 变为被动的通知，只有活动的节点才能发送通知。

http 请求的超时是 5 秒，因此故障切换不会变慢。

运行状况检查

INSSLR 将对其 http 终端进行基本检查。 错误将会报告到网格显示板（最大速率为每 10 分钟 1 次）。 如果 INSSLR 以冗余模式运行并且 fover_on_healthcheck 设置为非零值，则后续的运行状况检查失败 fover_on_healthcheck 次后，INSSLR 会尝试故障切换到其备份组件。 如果备份 INSSLR 组件未运行或配置不正确，故障切换可能不会成功。
重要信息！ 将 fover_on_healthcheck 设置为 1 会使 INSSLR 在每次运行状况检查失败时都进行故障切换，我们不总是希望出现这种情况。 使用较大的值可帮助避免误报（例如停止应用时）。

服务器证书

要使用 SSL，您需要已签名的证书以及对其进行加密的私钥。 私钥和证书应采用 PEM 格式，并放在 cert_file 属性指定的单个文件中。

生成服务器证书

CA 3Tera AppLogic 允许您生成服务器证书。

生成服务器证书

1. 使用以下命令生成私钥：

   openssl genrsa -out privkey.pem 2048 
   

   要生成密码保护的密钥，请使用以下命令（要将密钥用于 INSSLR，您需要一个无密码的密钥。如果创建受密码保护的密钥，则需在 INSSLR 中使用它之前先删除密码）

   openssl genrsa -des3 -out privkey.pem 2048 
   

2. 下一步您需要一个证书。 此处有两个选项－创建证书请求并由可信的 CA 签名（对此它们会向您收费），或创建用于测试目的的自签名证书（在这种情况下，请求您的站点的浏览器将发出警告，指出该证书未经可信的 CA 签名）。

   要生成证书请求，请执行以下命令：

   openssl req -new -key privkey.pem -out server.csr 
   

   在将 .csr 文件发送到可信的证书颁发机构之后，该机构将为您返回可以使用的已签名证书（.crt 文件）。

3. 要生成自签名证书，请执行以下命令：

openssl req -new -x509 -key privkey.pem -out server.crt -days 1095

使用服务器证书

现在，可将证书和密钥放在一个文件中并在 INSSLR 中使用该文件：

cat privkey.pem  server.crt > server.pem 

如果您的密钥受密码保护，则可通过执行以下命令来删除密码：

openssl rsa -in key_with_pass.pem -out privkey.pem

使用现有的 apache+mod_ssl 服务器证书

如果某个现有证书已在 Apache 中使用，则该证书也可以在 INSSLR 中使用。 请确保密钥不受密码保护（参阅上文），并将私钥和证书按该顺序放在一个文件中。

示例：

cat privkey.pem  server.csr > server.pem 

如果使用成链的证书，还应包括颁发者提供的中间证书。 将私钥、证书和中间证书以该顺序放在一个文件中。

示例：

cat privkey.pem server.csr sf_issuing.crt > server.pem 

重要信息！ 服务器签名密钥是网站的身份证明。 由于它不受密码保护，因此也容易受到攻击（组件无需您的协助就能读取该密钥）。 在数据卷上安装密钥文件时，请采取必要的措施来保护该密钥文件。 不要将相同的数据卷用于其他用途，也不要使其对 Web 服务器（例如：托管可通过 Web 访问的数据（HTML 页面、脚本等）的 Web 服务器）可见。

客户端证书

下列示例概述了如何创建 CA Technologies 私钥，并通过 OpenSSL 使用该私钥来签署自己的证书。 此操作已使用 OpenSSL 0.9.8b（与安装在 INSSLR 中的版本相同）进行测试。

创建证书颁发机构

如果您已有自己的用于创建自签名服务器证书的证书颁发机构，则可跳过此步骤并使用该证书颁发机构。 在为应用创建可信颁发机构的规范时，环境安全非常重要。

创建证书颁发机构

1. 在安全的主机系统上，使用以下命令创建一个工作目录并在该工作目录内创建一个专用目录：

   mkdir CA 
   mkdir CA/private 
   

2. 为证书颁发机构创建密钥长度为 2048 位的受密码保护的 RSA 密钥：

   openssl genrsa -des3 -out CA/private/CA_key.pem 2048 
   

• 使用私钥为证书颁发机构创建公钥证书：

  openssl req -new -key CA/private/CA_key.pem -x509 -days 365 -out CA/CA_cert.pem 
  

重要信息！ 证书颁发机构的私钥是信任应用的基础，因此不要将其放错地方或提供给其他方。

创建由证书颁发机构签署的客户端证书

CA 3Tera AppLogic 允许您创建由证书颁发机构签署的客户端证书。

创建由证书颁发机构签署的客户端证书

1. 生成 RSA 私钥（要创建受密码保护的密钥，请使用 -des3 选项）：

   openssl genrsa -out clientA_privkey.pem 2048 
   

2. 基于私钥生成证书签名请求 (CSR)：

   openssl req -new -key clientA_privkey.pem -out clientA_request.csr 
   

3. 使用为 CA 生成的证书签署 CSR 中包含的证书：

   openssl x509 -req -days 365 -in clientA_request.csr -CA CA/CA_cert.pem -CAkey CA/private/CA_key.pem -CAcreateserial -out clientA.cer 
   

请注意下列各项：

• 使用 -CAcreateserial 选项可向已颁发的证书分配唯一序列号。 由于这是 CA Technologies 颁发的第一个证书，因此会创建文件 CA/CA_cert.srl 来跟踪序列号分配。 在创建后续客户端证书时，可以使用 -CAserial 选项来代替 -CAcreateserial 选项。 例如：

  openssl genrsa -out clientB_privkey.pem 2048 
  openssl req -new -key clientB_privkey.pem -out clientB_request.csr 
  openssl x509 -req -days 365 -in clientB_request.csr -CA CA/CA_cert.pem -CAkey CA/private/CA_key.pem -CAserial CA/CA_cert.srl -out clientB.cer 
  

• 创建包含客户端证书和密钥的单个 PEM 格式文件：

  cat clientA_privkey.pem clientA.cer > clientA.pem 
  

• 创建 pkcs12 格式的等效文件（可供多数浏览器使用）：

openssl pkcs12 -export -in clientA.cer -inkey clientA_privkey.pem -out clientA.p12

吊销 CA 签署的客户端证书

吊销 CA 颁发的客户端证书：

• openssl ca -config openssl.conf -revoke clientB.cer -crl_reason keyCompromise

下面显示了一个示例 openssl.conf，crl_reason 参数为下列其中一项：unspecified、keyCompromise、CACompromise、affiliationChanged、superseded、cessationOfOperation、certificateHold 或 removeFromCRL。 原因的匹配不区分大小写。

重新生成证书吊销列表 (CRL)：

• openssl ca -config openssl.conf -gencrl -out CA/crl.pem

在该示例中，crl.pem 是应作为 cert_revocation_list 属性提供给 INSSLR 的文件。

用于以上示例的示例配置文件为：

      ####################################################################
      [ ca ]
      default_ca      = CA_default            # The default ca section

      ####################################################################
      [ CA_default ]

      dir             = ./CA                  # Where everything is kept
      certs           = $dir/certs            # Where the issued certs are kept
      crl_dir         = $dir/crl              # Where the issued crl are kept
      database        = $dir/index.txt        # database index file.
      #unique_subject = no                    # Set to 'no' to allow creation of
                                        # several ctificates with same subject.
      new_certs_dir   = $dir/newcerts         # default place for new certs.

      certificate     = $dir/cacert.pem       # The CA certificate
      serial          = $dir/serial           # The current serial number
      crlnumber       = $dir/crlnumber        # the current crl number
                                        # must be commented out to leave a V1 CRL
      crl             = $dir/crl.pem          # The current CRL
      private_key     = $dir/private/cakey.pem# The private key
      RANDFILE        = $dir/private/.rand    # private random number file

      default_days    = 365                   # how long to certify for
      default_crl_days= 30                    # how long before next CRL
      default_md      = sha1                  # which md to use.
      preserve        = no                    # keep passed DN ordering

      policy          = policy_anything

      [ policy_anything ]
      countryName             = optional
      stateOrProvinceName     = optional
      localityName            = optional
      organizationName        = optional
      organizationalUnitName  = optional
      commonName              = supplied
      emailAddress            = optional

创建 INSSLR 使用的证书颁发机构列表文件

CA 3Tera AppLogic 允许您创建 INSSLR 使用的证书颁发机构列表文件。

创建 ca_list_client 属性标识的文件

1. 访问以下文件：

   cat CA/private/CA_key.pem CA/CA_cert.pem > ca_list_client.pem 
   

2. 将该文件放置在密钥卷上，或放置在通过 fs 终端挂接了 nfs 的卷上。
3. 如果需要，也可以按照与创建客户端证书相同的方式创建 INSSLR 的服务器证书（例如：server.pem）并由创建的证书颁发机构签署。 不要对此证书使用密码。
4. 创建 server.pem 和 ca_list_client.pem 后，可按如下方式对客户端证书身份验证进行测试：
   • 要通过浏览器测试，请使用“工具”->“选项”->“查看证书”->“您的证书”->“导入”将 pkcs12 格式的客户端证书导入 Firefox。 在浏览器中打开 INSSLR 的 IP 地址。

• 从远程主机测试 SSL 握手：

openssl s_client -host IP-address -port 443 -showcerts -ssl3 -cert clientA.cer -key clientA_privkey.pem -state

客户端证书头

如果客户端使用 HTTPS 连接到 INSSLR，并且存在客户端证书，INSSLR 会向其发出到后端服务器的请求添加以下头：

• X-SSL-Subject：有关证书所有者的详细信息。
• X-SSL-Issuer：有关证书颁发者（证书颁发机构）的详细信息。
• X-SSL-serial：证书序列号（十进制）。
• X-SSL-cipher：当前使用的密码。
• X-SSL-certificate：完整的客户端证书（多行 PEM 格式）。

是否使用这些头由应用来决定。 INSSLR 只是传递这些信息，而不以任何方式验证这些信息（除签名和加密的正确性以外）。

典型用法

Web 应用

要向您的应用提供 http(s) 访问，请将 http 终端直接连接到 WEB 组件。

如果您需要可扩展的 Web 应用，请将 http 终端挂接到 HALB 组件。

Web 应用的配置

配置示例只列出了设置为非默认值的属性，而未包括网络配置（ip_addr、netmask、gateway）。

带有附加服务的 Web 应用

如果应用中除包含 http 之外还包含其他服务，可以使用 INSSLR 向其 http 终端传递 http 流量，并将 aux 终端用于其他服务。

带有多个附加服务的 Web 应用

如果有多个 tcp/udp 服务和 http，则可使用 INSSLR 向其 http 终端传递 http 流量，并使用 aux 向 PS8 提供其余流量，这样会向后端服务器馈送所需流量。

冗余的 Web 应用

如果需要提供冗余的 Web 应用，可以复制应用并使用 INSSLR 为外部 IP 地址提供故障切换功能。

备份 Web 应用

如果您只需要一个备份应用，用于针对停机时间向用户发出通知，则可使用 INSSLR 来生成需要最少资源的备份应用。

正在使用的组件：

• user一用户请求的输入网关
• web一显示维护消息的 Web 服务器

主应用中的 INSSLR：

备份应用中的 INSSLR：

冗余 Web 应用（单一应用）

如果要在冗余模式下运行应用而不创建新应用，则可只将应用中的组件加倍并在冗余模式下运行这些组件。 由于这需要使用（至少）两台 Web 服务器和两个数据库组件，因此在正常模式下它们都被使用（提供可扩展性），但是其中任何一个组件均可在另一个组件出现故障时单独为应用提供服务。 如果需要更多的可扩展性，则可添加更多 Web 和数据库组件。 在此示例中，一半组件（in1、sw1、web1、db1）在一个故障切换组中运行，其余组件（in2、sw2、web2、db2）在另一个故障切换组中，因此当一台服务器崩溃时，应用可以幸免。 该应用以极低的成本提供冗余，因为所有组件（一个 INSSLR 和一个 HALB 组件除外，它们需要的资源极少）都处于活动状态，并且不需要为只在主应用出现故障时运行的备份应用花费资源。

in1

in2

db1

db2

冗余 Web 应用（两个相同的应用）

您可以在同一网格中（但在不同的服务器上，这样一台服务器出现故障只影响一个应用）；如果所使用的 IP 地址从两个网格中均可访问，则也可以在不同网格中运行两个相同的应用。 以下示例演示的应用使用一个在冗余模式下也运行的数据库组件，因此如果一个应用出现故障，另一个应用可以接管，且不会丢失数据。

正在使用的组件：

• in1一用户请求的冗余输入网关
• admin一用于日志文件访问的输入网关
• sw一在 db 上将端口 8080 从 admin 重定向到 ui
• repl_in一为复制数据库而连接到 db 组件的远程应用的输入
• web_lb一用户请求的 Web 负载均衡器
• web1、web2一有活动内容的 Web 服务器（例如：CGI 脚本）
• db一同时配置为主服务器和从服务器的 MYSQLR64
• content一数据库错误日志文件、Web 内容和 Web 日志的存储
• logs一数据库错误日志文件的存储
• repl_out一为复制数据库而连接到远程应用的 db 组件的输出网关
• mon一MON 组件

客户端请求到达 in1 网关。 该网关将请求转发给 web_lb 负载均衡器，后者将请求定向到 Web 服务器 web1 和 web2 中的一个。 Web 服务器访问 db 数据库。 db 组件连接到远程应用（这是相同的副本，唯一的差别在于 db 的 server_id 以及网络安装程序），以复制数据库。 远程应用通过 repl_in 网关连接到 db 组件，该网关配置为只允许来自远程应用的 repl_out 网关的连接。 两个应用中的 db 组件以主服务器-主服务器设置运行，因此它们的数据始终相同。

示例属性配置（未列出的属性应保留为默认值）：

使用端口 8080 上的 admin 网关可以对 db 进行 Web 访问。

in1

db

重要信息！ 在任何时候只有一个应用处于活动状态，另一个只为故障切换而运行并在活动应用出现故障时使用。

说明

INSSLR 支持 HTTP 1.0 和 HTTP 1.1，但如果客户端将自身标识为 MSIE，则会对此连接关闭 HTTP 1.1 支持（以避免某些版本的 MSIE 出现缺陷）。

如果客户端不是 MSIE，即使后端服务器只支持 HTTP 1.0，INSSLR 也对客户端支持 HTTP 1.1（包括对每个 TCP 会话支持多个请求的能力）。

INSSLR 支持单个外部 IP，因此只可以使用单个 SSL 证书。

组件内所用的开源和第三方软件

INSSLR 除了使用其基类 LUX5 所用的第三方开源软件包之外，还使用下列第三方/开源软件包。