参考信息 › 组件目录参考指南 › 系统目录 › 网关 › INSSLR2－带有 SSL 支持的冗余 HTTP 输入网关

INSSLR2－带有 SSL 支持的冗余 HTTP 输入网关

最新版本：1.0.1-2

INSSLR2 组件是安全 HTTP 请求的第 7 层网关。 它将请求转换为未编码的 HTTP 请求。 您可以使用此功能支持客户端的安全 HTTP。

不过，后端处理基础架构不会或无法支持 SSL，包括：

• 使用没有 SSL 支持的、快速的轻型 HTTP 服务器
• 使用针对性能或冗余的多个后端服务器，这些服务器通过负载均衡交换机连接
• 使用针对无关功能的多个后端服务器，这些服务器通过 URL 交换机连接
• 将 SSL 加密/解码卸载到单独的服务器，以改进吞吐量

如果已配置，则 INSSLR2 也支持客户端证书身份验证。 在进行 SSL 相互身份验证的情况下，客户端和服务器都将交换各自的证书和相应公钥。 客户端和/或服务器可以联系颁发证书的证书颁发机构 (CA)，并确认证书是真实的，然后再继续。

在其默认配置中，INSSLR2 充当安全 HTTP 请求的第 7 层网关。 它还提供到应用的网络流量的防火墙入口点。 可以使用 Internet 可访问的静态 IP 地址进行配置。

在配置时，可以在故障切换模式下使用两个 INSSLR2 组件来提供冗余服务。 在这种情况下，INSSLR2 IP 地址仅在其中一个节点上运行，并在失败时自动转移到另一个 INSSLR2 组件。 一次只有一个 INSSLR2 组件为活动状态。 在故障切换模式下运行时，可以将 INSSLR2 配置为在以下几种模式下运行：

• Asymmetric－组件之一为主。 主组件处于在线状态时，它接管 IP 地址并变为活动状态。

  如果主节点失败或已停止，备份组件则为活动状态。 每当主组件再次变得可用时，会再次假定 IP 地址并变为活动状态。 主组件在 fover 接口上是具有最低 IP 地址（通过字符串比较）的一个组件。

• Symmetric－两个组件都为主组件。 首先启动的任何一个组件会接管 IP 地址并变为活动状态。 仅当第一个组件失败或已停止时，另一个组件才变为活动状态。

  每当第一个组件再次变得可用时，它不会自动接管 IP 地址。

在冗余模式下运行时，INSSLR2 在其 ctl 终端上提供一个界面，用于：

• 强制 INSSLR2 变为主组件
• 强制 INSSLR2 变为备份组件
• 检查主要或备份 INSSLR2 的状态

INSSLR2 持续不断地监控连接到其 http 终端的后端组件的运行状况。 INSSLR2 执行的运行状况检查可能包含简单的 TCP 连接检查或更复杂的 HTTP 请求（在 INSSLR2 的边界上指定）。

在连接的组件失败时，INSSLR2 会将错误报告给网格显示板，或者（如果处于冗余模式并配置为这样做）故障切换到备份 INSSLR2 组件。

要支持需要在多个服务的单个 IP 地址中显示的应用，可将 INSSLR2 配置为将非 HTTP 流量透明地定向到单独的输出终端。 对于此类连接，组件充当第 3 层防火墙/NAT 路由器。

边界

资源

注释

• 在故障切换模式下使用 INSSLR2 时（fover_mode 不是 none），最小内存为 192M。
• 分配给 INSSLR2 的内存量不影响其吞吐量。 使用更多内存只为了支持更多并发请求，这样后端服务器可以在更长的时间段内保留请求。

终端

属性

path/to/keys/ca_list_client.pem。 

path/to/keys/ca_list_client.pem。 

运行状况检查属性

用于故障切换方案的高级属性

卷

错误消息

当组件无法启动时，网格控制器的组件日志文件或系统日志中可能会出现下列消息：

• 无法挂接数据卷
• 无法设置对数据共享的权限
• 无法启动 Samba
• 无法启动 NFS
• 无法启动 Apache

性能

应用故障切换

INSSLR2 以大约 10 秒的时间检测到 INSSLR2 失败，并需要另外的 10 秒时间故障切换到其他应用。 从最初发生应用故障到其他应用接管流量的总时间大约为 20 秒。

请求速率

INSSLR2 每秒路由的事务数不少于 3000 个（请求/响应对），此速率受文档大小和可用网络带宽的限制。

数据吞吐量

INSSLR2 路由速率不低于 7 MB/秒，受文档大小和可用网络带宽的限制

并发连接数

在使用默认内存的情况下，INSSLR2 支持不少于 500 个并发的未决请求。 未决请求是来自客户端的开放 TCP 连接，其中有一个或多个未完成的 HTTP 请求正在进行中。

最大并发连接数取决于可用内存。 每增加 16 MB 内存可将并发的 http 事务数增加 500。

例如，如果您在冗余模式下运行且要提供 2000 个并发连接，那么您需要 100M + 3*16M = 148M。 在冗余模式下运行的最小内存是 100M。

通知

在以冗余模式运行（fover_mode 不是 none）时，每当 INSSLR2 变为主动/被动时都将触发通知。 这种情况在活动节点启动或发生故障切换时执行。 每个节点发送变为主动或被动的通知。

INSSLR2 发送两则通知：

• 发送到网格显示板的通知：INSSLR2 appliance APP_NAME:COMP_NAME <acquired|gave up=""> resource ip_addr
• 使用 nfy 终端的 HTTP 请求。 由接收端根据通知采取相应的操作。

  请求的 URL 是：

  http://nfy/ fover_nfy_prefix fover_mode= fover_mode &state= <start|stop> &ip_addr= ip_addr &fover_local_ip= fover_local_ip &fover_remote_ip= fover_remote_ip &fover_netmask= fover_netmask

您可以使用 fover_nfy_prefix 来更改所调用的远程脚本的位置和/或添加其他参数。

fover_nfy_prefix 值的示例：

/path/to/script.php?, /path/to/script.php?username=user&password=pass&。 

注意：

• 当使用不同于默认值的 fover_nfy_prefix 时，如果 fover_nfy_prefix 只是路径或脚本， 请确保该值以问号 ? 结尾；如果 fover_nfy_prefix 包括其他参数，请使用 &。
• 如果节点变为不可用，它可能无法发送变为被动的通知。 只有变为活动的节点发送通知。
• http 请求的超时是 5 秒，确保故障切换不会变慢。

运行状况检查

INSSLR2 每分钟运行一次 cronjob 以检查：

• 数据卷上的可用空间是否低于 20%
• rsync 后台进程是否正在运行（只有当配置为从服务器时）
• 复制进程是否正在运行（仅当配置为主服务器时） 如果为“否”，则重新启动复制进程。

如果上面任何一项为“是”，则将错误消息发送到网格显示板。 如果多个测试失败，网格显示板上将发布包含所有错误的摘要消息。

每小时只会向网格显示板发送每条错误一次。 在组件启动之后的开始 5 分钟内，没有报告错误。 在复制的另一个节点没有启动时，这可以防止误报。

服务器证书

要使用 SSL，您需要已签名的证书以及对其进行加密的私钥。 私钥和证书应采用 PEM 格式，并放在 cert_file 属性指定的单个文件中。

生成服务器证书

您可以生成由信任的证书颁发机构 (CA) 签署的服务器证书（收费），或创建自签名证书。

完成以下步骤：

1. 使用以下命令生成私钥：

   openssl genrsa -out privkey.pem 2048 
   

   您也可以使用以下命令生成一个通行受保护密钥。 然而，如果创建通行受保护密钥，您需要在 INSSLR2 中使用它之前删除该密码。 INSSLR2 需要无密码密钥。

   openssl genrsa -des3 -out privkey.pem 2048 
   

2. 使用以下选项之一创建证书：
   • 创建证书请求并由信任的 CA 签署（收费）。

     执行以下命令：

     openssl req -new -key privkey.pem -out server.csr 
     

     在将 .csr 文件发送到可信的证书颁发机构之后，该机构将为您返回可以使用的已签名证书（.crt 文件）。

   • 针对测试目的创建自签名证书。 请求站点的浏览器将发出警告，即证书未由信任的 CA 签署。

     执行以下命令：

     openssl req -new -x509 -key privkey.pem -out server.crt -days 1095 
     

使用服务器证书

您现在可以将证书和密钥放置在文件中，并通过执行以下命令，在 INSSLR2 使用它：

cat privkey.pem  server.crt > server.pem 

如果您的密钥受密码保护，则可通过执行以下命令来删除密码：

openssl rsa -in key_with_pass.pem -out privkey.pem 

使用现有的 apache+mod_ssl 服务器证书

INSSLR2 允许您使用在 Apache 中使用的现有证书。 使用以上步骤验证该密钥不受密码保护，然后将专用证书和密钥放置在单个文件中。

例如：

• cat privkey.pem server.csr > server.pem

如果使用成链的证书，还应包括颁发者提供的中间证书。 按顺序将私钥、证书和中间证书放置在单个文件中。

例如：

• cat privkey.pem server.csr sf_issuing.crt > server.pem

重要信息！ 服务器签名密钥是网站的身份证明。 由于未对密钥的密码进行加密（以便组件无需您的帮助即可读取该密钥），因此该密钥也容易受到攻击。

在数据卷上安装时，要采取措施保护密钥文件。 不要将相同的数据卷用于其他目的，且对于 Web 服务器不可见。 例如，对于主机 Web 可访问的数据，如 HTML 页面和脚本。

客户端证书

以下示例概述了如何创建您自己的证书颁发机构，并通过 OpenSSL 使用该机构来签署自己的证书。 此操作已使用 OpenSSL 0.9.8b（与安装在 INSSLR2 中的版本相同）进行测试。

创建证书颁发机构

如果您已有自己的用于创建自签名服务器证书的证书颁发机构，则可跳过此步骤并使用该证书颁发机构。 在为应用创建可信颁发机构的规范时，环境安全非常重要。

重要信息！ 证书颁发机构的私钥是应用的信任基础。 不要错放或向其他方提供。

完成以下步骤：

1. 在安全的主机上创建工作目录，在该目录中创建：
   • mkdir CA
   • mkdir CA/private
2. 为 CA 创建密钥长度为 2048 位的受密码保护的 RSA 密钥：

   openssl genrsa -des3 -out CA/private/CA_key.pem 2048 
   

3. 从私钥创建 CA 的公钥证书：

   openssl req -new -key CA/private/CA_key.pem -x509 -days 365 -out CA/CA_cert.pem 
   

创建由证书颁发机构签署的客户端证书

您可以创建由证书颁发机构签署的客户端证书。

完成以下步骤：

1. 生成 RSA 私钥：

   openssl genrsa -out clientA_privkey.pem 2048 
   

   要创建受密码保护的密钥，请使用 -des3 选项

2. 基于私钥生成证书签名请求 (CSR)：

   openssl req -new -key clientA_privkey.pem -out clientA_request.csr 
   

3. 使用为 CA 生成的证书签署 CSR 中包含的证书：

   openssl x509 -req -days 365 -in clientA_request.csr -CA CA/CA_cert.pem -CAkey CA/private/CA_key.pem -CAcreateserial -out clientA.cer 
   

注意：

• 使用 -CAcreateserial 选项可向已颁发的证书分配唯一序列号。 由于这是 CA 颁发的第一个证书，因此会创建文件 CA/CA_cert.srl 来跟踪序列号分配。 在创建后续客户端证书时，可以使用 -CAserial 选项来代替 -CAcreateserial 选项。

  例如：

  openssl genrsa -out clientB_privkey.pem 2048 
  

  openssl req -new -key clientB_privkey.pem -out clientB_request.csr 
  

  openssl x509 -req -days 365 -in clientB_request.csr -CA CA/CA_cert.pem -CAkey CA/private/CA_key.pem -CAserial CA/CA_cert.srl -out clientB.cer 
  

• 创建包含客户端证书和密钥的单个 PEM 格式文件：

  cat clientA_privkey.pem clientA.cer > clientA.pem 
  

• 创建 pkcs12 格式的等效文件（可供多数浏览器使用）：

  openssl pkcs12 -export -in clientA.cer -inkey clientA_privkey.pem -out clientA.p12 
  

创建 INSSLR2 使用的 CA 列表文件

吊销 CA 签署的客户端证书

要吊销 CA 颁发的客户端证书，请使用以下命令：

openssl ca -config openssl.conf -revoke clientB.cer -crl_reason keyCompromise 

下面显示了一个示例 openssl.conf，crl_reason 参数为下列其中一项：unspecified、keyCompromise、CACompromise、affiliationChanged、superseded、cessationOfOperation、certificateHold 或 removeFromCRL。 原因的匹配不区分大小写。

重新生成证书吊销列表 (CRL)：

openssl ca -config openssl.conf -gencrl -out CA/crl.pem 

在该示例中，crl.pem 是应作为 cert_revocation_list 属性提供给 INSSLR2 的文件。

用于以上示例的示例配置文件为： 

      ####################################################################

      [ ca ]

      default_ca      = CA_default            # The default ca section

      ####################################################################

      [ CA_default ]

      dir             = ./CA                  # Where everything is kept

      certs           = $dir/certs            # Where the issued certs are kept

      crl_dir         = $dir/crl              # Where the issued crl are kept

      database        = $dir/index.txt        # database index file.

      #unique_subject = no                    # Set to 'no' to allow creation of

                                        # several ctificates with same subject.

      new_certs_dir   = $dir/newcerts         # default place for new certs.

      certificate     = $dir/cacert.pem       # The CA certificate

      serial          = $dir/serial           # The current serial number

      crlnumber       = $dir/crlnumber        # the current crl number

                                        # must be commented out to leave a V1 CRL

      crl             = $dir/crl.pem          # The current CRL

      private_key     = $dir/private/cakey.pem# The private key

      RANDFILE        = $dir/private/.rand    # private random number file

      default_days    = 365                   # how long to certify for

      default_crl_days= 30                    # how long before next CRL

      default_md      = sha1                  # which md to use.

      preserve        = no                    # keep passed DN ordering

      policy          = policy_anything

      [ policy_anything ]

      countryName             = optional

      stateOrProvinceName     = optional

      localityName            = optional

      organizationName        = optional

      organizationalUnitName  = optional

      commonName              = supplied

      emailAddress            = optional

创建 INSSLR2 使用的证书颁发机构列表文件

您可以创建 INSSLR2 使用的证书颁发机构列表文件。

创建 ca_list_client 属性标识的文件：

1. 访问以下文件：

   cat CA/private/CA_key.pem CA/CA_cert.pem > ca_list_client.pem 
   

2. 将该文件放置在密钥卷上，或放置在通过 fs 终端挂接了 nfs 的卷上。

   如果需要，也可以按照与创建客户端证书相同的方式创建 INSSLR2 服务器证书（例如：server.pem）并由创建的证书颁发机构签署。 不要对此证书使用密码。

3. 创建 server.pem 和 ca_list_client.pem 后，可按如下方式对客户端证书身份验证进行测试：
   • 要从浏览器测试，将 pkcs12 格式的客户端证书导入 FireFox，使用：

     Tools=>Options=>View Certificates=>Your Certificates=>Import。 在浏览器中打开 INSSLR2 的 IP 地址。

   • 要从远程主机测试 SSL 握手，请使用以下命令：

     openssl s_client -host IP-address -port 443 -showcerts -ssl3 -cert clientA.cer -key clientA_privkey.pem -state 
     

客户端证书头

如果客户端使用 HTTPS 连接到 INSSLR2，并且存在客户端证书，INSSLR2 会向其返回到后端服务器的请求添加以下头：

• 有关证书所有者的 X-SSL-Subject 详细信息
• 有关证书颁发者（证书颁发机构）的 X-SSL-Issuer 详细信息
• X-SSL-Serial 证书序列号（十进制）
• 当前使用的 X-SSL-Cipher 密码
• X-SSL-Certificate 完整的客户端证书（多行 PEM 格式）

使用或不使用这些头是应用的责任。 INSSLR2 只是传递此信息而不进行验证，除签名和加密的正确性之外。

典型用法

Web 应用

要向您的应用提供 http(s) 访问，请将 http 终端直接连接到 WEB 组件。

针对可扩展 Web 应用，将 http 终端连接到 HALB 组件。

配置示例只列出了设为非默认值的属性。

带有附加服务的 Web 应用

如果应用中除包含 http 之外还包含其他服务，可以使用 INSSLR2 向其 http 终端传递 http 流量，并将 aux 终端用于其他服务。

带有多个附加服务的 Web 应用

如果有多个 TCP/UDP 服务和 HTTP，您可以使用 INSSLR2 将 HTTP 流量传送给其 HTTP 终端，并使用 aux 将剩余流量馈送给 PS8。 然后 PS8 将所需的流量馈送给后端服务器。

冗余的 Web 应用

要提供冗余的 Web 应用，可以复制应用并使用 INSSLR2 为外部 IP 地址提供故障切换功能。

注意：如果相同应用中的两个 INSSLR2 组件配置为以冗余模式运行，当您在两个不同的接口上配置相同的 IP 地址时，会显示警告消息。 请忽略该错误。

备份 Web 应用

如果您需要一个备份应用，用于针对停机时间向用户发出通知，则可使用 INSSLR2 来生成需要最少资源的备份应用。

正在使用的组件：

• user：用户请求的输入网关
• web：显示维护消息的 Web 服务器

主应用中的 INSSLR2

备份应用中的 INSSLR2

注意：您可以使用应用配置编辑器的“接口”选项卡配置连接到 fover 终端的接口属性。 例如，fover_local_ip 以及 fover_netmask 属性。

单个应用中的冗余 Web 应用

要在没有创建新应用的情况下，以冗余模式运行应用，您可以加倍组件并以冗余模式运行。 因为这涉及在正常模式中使用至少二个 Web 服务器和两个数据库组件，所以使用提供可扩展性的全部组件。 然而，在一个组件失败的情况下，另外一个可以提供单独的应用服务。

如果需要更多的可扩展性，则可添加更多 Web 和数据库组件。 在此示例中，一半组件（in1、sw1、web1、db1）在一个故障切换组中运行，其余组件（in2、sw2、web2、db2）在另一个故障切换组中，因此当一台服务器崩溃时，应用可以幸免。 该应用以极低的成本提供冗余，因为所有组件（一个 INSSLR2 和一个 HALB 组件除外，它们需要的资源极少）都处于活动状态，并且不需要为只在主应用出现故障时运行的备份应用花费资源。

in1

in2

db1

db2

带有两个相同应用的冗余 Web 应用

您可以在相同的网格上运行两个相同的应用，但是在单独服务器或不同网格上则无法运行（如果从两个网格都可以访问该 IP 地址）。 这种情况允许服务器失败仅影响一个应用。

注意：如果相同应用中的两个 INSSLR2 组件配置为以冗余模式运行，当您在两个不同的接口上配置相同的 IP 地址时，会显示警告消息。 请忽略该错误。

以下示例显示使用也在冗余模式下运行的数据库组件的应用。 如果一个应用失败，另外一个应用可以在没有数据丢失的情况下接管。

正在使用的组件：

• insslr－用户请求的冗余输入网关
• admin－用于日志文件访问的输入网关
• sw－在 db 上将端口 8080 从 admin 重定向到 ui
• repl_in－为复制数据库而连接到 db 组件的远程应用的输入
• web_lb－用户请求的 Web 负载均衡器
• web1、web2－有活动内容的 Web 服务器，例如：CGI 脚本
• db－同时配置为主服务器和从服务器的 MYSQLR64
• content－数据库错误日志文件、Web 内容和 Web 日志的存储
• logs－数据库错误日志文件的存储
• repl_out－为复制数据库而连接到远程应用的 db 组件的输出网关
• mon－MON 组件

客户端请求到达 insslr 网关。 该网关将请求转发给 web_lb 负载均衡器，后者将请求定向到 Web 服务器 web1 或 web2 中的一个。

Web 服务器访问 db 数据库。 db 组件连接到远程应用。 为了复制数据库，远程应用是相同的副本，而唯一的差异是 db 的 server_id 和网络设置。

远程应用通过 repl_in 网关连接到 db 组件，该网关配置为只允许来自远程应用的 repl_out 网关的连接。 两个应用中的 db 组件以主服务器-主服务器设置运行，确保它们的数据始终相同。

示例属性配置

未列出的属性应保留为其默认值。 使用端口 8080 上的 admin 网关可以对 db 进行 Web 访问。

insslr

db

重要信息！ 在任何时候只有一个应用处于活动状态，另一个只为故障切换而运行并在活动应用出现故障时使用。

注意：

• INSSLR2 支持 HTTP 1.0 和 HTTP 1.1，但如果客户端将自身标识为 MSIE，则会对此连接关闭 HTTP 1.1 支持。 以避免某些版本的 MSIE 出现缺陷。
• 如果客户端不是 MSIE, INSSLR2 则支持客户端的 HTTP 1.1。 包括每个 TCP 会话功能的多个请求。 即使后端服务器使用仅支持 HTTP 1.0，这种情况才会发生。
• INSSLR2 支持单个外部 IP，因此只可以使用单个 SSL 证书。

组件内所用的开源和第三方软件

INSSLR2 除了使用其基类 LUX6 所用的第三方开源软件包之外，还使用下列第三方开源软件包。