<\/p>\n
Es ist kaum zu glauben, aber TLS Server<\/a> Name Indication (SNI) gibt es schon seit dreizehn Jahren. In der heutigen Zeit ist es ein Dinosaurier, der jedoch seltsamerweise wenig genutzt wird. Das \u00e4ndert sich jedoch endlich, und in diesem Blog erkunden wir, wie die fortschrittlichen Load Balancer von edgeNEXUS diese Funktion unterst\u00fctzen k\u00f6nnen. SNI l\u00f6st eines der gr\u00f6\u00dften Probleme, die viele mit SSL\/TLS\/HTTPS haben: Die Notwendigkeit, jeder Domain oder Subdomain, die gesichert werden muss, eine kostbare IP-Adresse zuzuweisen. Dies ist notwendig, da SSL\/TLS die Verbindung sichert, bevor wir die anf\u00e4ngliche HTTP-Anfrage des Clients pr\u00fcfen k\u00f6nnen, die diese wertvollen Dom\u00e4nennamen-Details enth\u00e4lt. <\/p>\n Die einzige M\u00f6glichkeit, um sicherzustellen, dass wir das richtige Zertifikat bereitstellen, besteht darin, nur ein Zertifikat pro IP-Adresse bereitzustellen und DNS zu verwenden, um sicherzustellen, dass Anfragen an einen bestimmten Dom\u00e4nennamen an die IP-Adresse eines Hosts weitergeleitet werden, der das richtige Zertifikat f\u00fcr diese Dom\u00e4ne bereitstellt. In einem privaten Unternehmen k\u00f6nnten wir vielleicht dieselbe IP-Adresse, aber einen anderen Port verwenden, aber dann m\u00fcssen wir sicherstellen, dass jeder wei\u00df, dass er den nicht standardisierten Port verwenden muss. Bei \u00f6ffentlichen, \u00fcber das Internet zug\u00e4nglichen Diensten ist dies nicht wirklich eine praktikable Option. <\/p>\n Wir k\u00f6nnten Wildcard-Zertifikate verwenden, die jede m\u00f6gliche Subdom\u00e4ne sch\u00fctzen (z.B. *.jetnexus.co.uk), aber niemand mag sie, am wenigsten die Sicherheitsexperten. Was auch immer Sie von den NO!-M\u00e4nnern und -Frauen aus der Welt der Informationssicherheit halten m\u00f6gen, sie haben wahrscheinlich Recht. Es ist schwer, etwas zu vertrauen, das buchst\u00e4blich alles innerhalb einer Dom\u00e4ne repr\u00e4sentiert. Wie viele Ger\u00e4te speichern und wie viele Mitarbeiter haben Zugriff auf das verwendete Zertifikat und den Schl\u00fcssel? <\/p>\n Server-Alternativnamen-Zertifikate (SAN-Zertifikate) waren schon immer verf\u00fcgbar, erfordern aber die Kenntnis jeder einzelnen zu sch\u00fctzenden Dom\u00e4ne zum Zeitpunkt der Erstellung. Wenn ein Dom\u00e4nenname entfernt oder hinzugef\u00fcgt werden soll, muss das Zertifikat neu generiert und alle betroffenen Hosts damit aktualisiert werden. <\/p>\n Das ist die zunehmend schwierige Entscheidung, vor der wir alle immer wieder stehen (auch unsere Benutzer und Kunden): eine IP-Adresse verbrennen oder einen Kompromiss eingehen (in jeder Hinsicht). Eine zunehmend schwierige Entscheidung, denn IP-Adressen sind eine endliche Ressource, deren Verf\u00fcgbarkeit t\u00e4glich abnimmt und deren Wert t\u00e4glich zunimmt. Zum Gl\u00fcck f\u00fcr uns gibt es f\u00fcr dieses seit langem bestehende Problem seit vielen Jahren eine L\u00f6sung. Sie bietet uns das Beste aus allen Welten und hatte bis vor kurzem kaum Auswirkungen. <\/p>\n SNI bietet eine Methode, mit der der Client dem Server (in unserem Fall einem jetNEXUS) den Dom\u00e4nennamen mitteilen kann, zu dem er eine Verbindung herstellt. Dies geschieht, indem ein Erweiterungsfeld im ersten TLS-Paket des Clients (ein Hallo) mit dem Dom\u00e4nennamen gef\u00fcllt wird. Dieses Feld wird \u201ein the clear\u201c gesendet, so dass es gelesen werden kann, bevor der Server sein SSL\/TLS-Zertifikat sendet. Dies gibt dem Server die M\u00f6glichkeit, das erwartete Zertifikat zu senden (vorausgesetzt, er hat es), egal wie viele ihm zur Verf\u00fcgung gestellt wurden. <\/p>\n So kann ein einzelner virtueller Dienst (und eine IP-Adresse) mit so vielen SSL-Zertifikaten f\u00fcr so viele Domainnamen konfiguriert werden, wie Sie m\u00f6chten. Jedes dieser Zertifikate kann ein eigenes, g\u00fcltiges SSL-Zertifikat haben, das auf der Grundlage der vom Client bereitgestellten Daten korrekt und ohne Fehler bereitgestellt wird. Bedienen Sie www.jetnexus.com<\/a> und www.loadbalance.co.uk<\/a> \u00fcber dieselbe IP-Adresse und stellen Sie f\u00fcr beide g\u00fcltige Zertifikate bereit; keine Kompromisse, kein \u00c4rger und keine Verschwendung von IP-Adressen. <\/p>\n Dar\u00fcber hinaus k\u00f6nnen Sie die Liste der vom virtuellen Dienst unterst\u00fctzten Dom\u00e4nen jederzeit mit wenigen Klicks in der grafischen Benutzeroberfl\u00e4che \u00e4ndern. F\u00fcgen Sie Zertifikate hinzu oder entfernen Sie sie, um die vom Virtuellen Dienst unterst\u00fctzten Domains hinzuzuf\u00fcgen oder zu entfernen. Vergessen Sie nur nicht, gleichzeitig auch Ihre DNS zu aktualisieren. Wenn Sie f\u00fcr eine oder zwei hochwertige Domains unterschiedliche reale Server verwenden m\u00f6chten, ist das kein Problem, denn eine schnelle flightPATH-Regel ist nur ein paar Minuten entfernt. Das Gleiche gilt f\u00fcr HTTP-Komprimierung, URL-Rewrites<\/a> oder was immer Sie sonst noch brauchen. Ein einziger virtueller Dienst und eine einzige IP-Adresse f\u00fcr mehrere Dom\u00e4nen sind sehr w\u00fcnschenswert, aber das muss nicht die einzigartige Behandlung einschr\u00e4nken, die Sie auf den Datenverkehr f\u00fcr verschiedene Dom\u00e4nen anwenden m\u00f6chten. <\/p>\n Ich h\u00f6re Sie: \u201eWo ist der Haken?\u201c Nun, fr\u00fcher gab es sicherlich einen und das ist der Grund, warum es SNI schon so lange gibt, aber erst jetzt in Load Balancing und anderen Produkten auftaucht. Der Grund? Die Client-Unterst\u00fctzung. Die Langlebigkeit der unglaublich beliebten Kombination aus Windows XP und IE6, die SNI nicht unterst\u00fctzt, hat die meisten davon abgehalten, es zu verwenden. Niemand m\u00f6chte m\u00f6glicherweise 10-20% seines Publikums ausschlie\u00dfen. <\/p>\n Heute sind wir jedoch viel gl\u00fccklicher. Windows XP hat das Ende des Supports l\u00e4ngst hinter sich, der IE6 wird im World Wide Web zu weniger als 1% genutzt und das kostenlose Upgrade auf Windows 10 wird schnell eingef\u00fchrt. Wir k\u00f6nnen endlich sicher sein, dass die Implementierung von SNI keine Auswirkungen auf unsere Kunden und unser Gesch\u00e4ft haben wird. Der IE ab Version 7 (auf Vista oder h\u00f6her) und fast alle au\u00dfer den \u00e4ltesten Versionen von Chrome, Firefox und Safari unterst\u00fctzen SNI. Wenn Sie \u00fcberpr\u00fcfen m\u00f6chten, ob Ihre spezifische Benutzerbasis unterst\u00fctzt wird, gibt es auch daf\u00fcr eine flightPATH-Regel. <\/p>\n Zur Frage der Sicherheit sei gesagt, dass der Kunde Informationen im Klartext \u00fcbermittelt. Dies sind Informationen, die \u00fcber die Leitung abgefangen werden k\u00f6nnen. Auch der Client f\u00fchrt eine DNS-Abfrage im Klartext durch, bevor er eine Verbindung herstellt. Das k\u00f6nnen wir nicht kontrollieren, so dass es kein Risiko darstellt, diese Informationen sp\u00e4ter ein zweites Mal preiszugeben. Vielleicht m\u00f6chten Sie mit einer flightPATH-Regel \u00fcberpr\u00fcfen, ob der SNI-Dom\u00e4nenname mit dem im HTTP-Host-Header \u00fcbereinstimmt, oder es ist Ihnen egal, denn jeder ist anders. Ist das ein Hinweis auf ein Sicherheitsproblem? Wie auch immer, der Client ist verbunden und die Verbindung ist sicher. Sofern Sie keine Sicherheitsrichtlinien auf der Grundlage des Dom\u00e4nennamens anwenden (und das sollten Sie nicht), ist alles in Ordnung. <\/p>\n Wenn Sie wirklich mehr Details wollen, werfen Sie einen Blick auf den urspr\u00fcnglichen RFC3546<\/a>(Abschnitt 3.1), den sp\u00e4teren RFC6066<\/a>(Abschnitt 3) und, wenn Sie glauben, dass man ihm trauen kann: Server Name Indication auf Wikipedi. Wenn Sie Sicherheit auf Anwendungsebene ben\u00f6tigen, basiert die edgeNEXUS WAF auf branchenf\u00fchrender, geh\u00e4rteter Application Firewall-Technologie. Die edgeNEXUS Application Firewall ist \u00fcber den edgeNEXUS App Store erh\u00e4ltlich und nutzt die Container-Technologie der n\u00e4chsten Generation. Sie bietet einen umfassenden Sicherheitsschutz, um die PCI-DSS- und OWASP-Anforderungen zu erf\u00fcllen. Wie bereits in fr\u00fcheren Blog-Beitr\u00e4gen beschrieben, ist flightPATH eine dynamische, ereignisbasierte Regel-Engine, die von edgeNEXUS entwickelt wurde, um den IP-, HTTP- und HTTPS-Datenverkehr intelligent zu manipulieren und zu routen. Wenn Sie mehr \u00fcber die flightPATH-Verkehrsverwaltung erfahren m\u00f6chten, klicken Sie bitte hier, und wenn Sie wissen m\u00f6chten, wie Sie die verf\u00fcgbaren Regeln optimal nutzen k\u00f6nnen, lesen Sie bitte den edgeNEXUS User Guide. <\/p>\n <\/p>\n Ein einziger virtueller Dienst (und eine IP-Adresse) kann mit so vielen SSL-Zertifikaten f\u00fcr so viele Domainnamen konfiguriert werden, wie Sie m\u00f6chten, dass er bedient wird. Jedes dieser Zertifikate kann ein eigenes, g\u00fcltiges SSL-Zertifikat haben, das auf der Grundlage der vom Kunden angegebenen Daten korrekt und fehlerfrei bereitgestellt wird. <\/p><\/blockquote>\n","protected":false},"excerpt":{"rendered":" Es ist kaum zu glauben, aber TLS Server Name Indication (SNI) gibt es schon seit dreizehn Jahren. In der heutigen Zeit ist es ein Dinosaurier, der jedoch seltsamerweise wenig genutzt wird. Das \u00e4ndert sich jedoch endlich, und in diesem Blog erkunden wir, wie die fortschrittlichen Load Balancer von edgeNEXUS diese Funktion unterst\u00fctzen k\u00f6nnen. SNI […]<\/p>\n","protected":false},"author":13,"featured_media":34795,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[376],"tags":[1049,401,1052,1051,1050,1048],"class_list":["post-51183","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog-de","tag-identifizierung-des-servernamens","tag-lastenausgleicher","tag-ssl-de","tag-ssl-sicherheit","tag-ssl-zertifikate","tag-tls-sni-de"],"yoast_head":"\n