ssl - 是否真的需要在微服务架构中采用 ssl 传输层来进行内部 lan-only 服务到服务通信？

Question

在有数千个 Web 服务的情况下，是否有理由为每个微服务也使用签名证书，或者它只会增加开销？服务通过位于防火墙后面的 VPC 进行通信，而公共(public)端点位于面向有效 CA 证书的 nginx 公众后面。

服务在 aws 上的多个服务器上。

Answer 1

根据我有限的经验，我认为这是矫枉过正。如果攻击者有权监听您的内部网络或与您的内部网络交互，那么很可能存在您应该应对的其他问题。

这篇文章 auth0.com解释了仅在与外部客户端的连接上使用 SSL。我也同意这种观点，并且相信在单个服务级别实现 SSL 将变得非常困难，除非您在每个单独的主机上运行某种形式的代理，例如 HAProxy 或 Nginx，这是次优的，特别是如果您使用的是一种形式托管集群，如 Kubernetes 或 Docker Swarm。

我目前的想法是只为您的边缘服务运行 SSL 很好，确保您使用 Scout2 之类的东西锁定您的 AWS 网络并在您的 LAN 上运行未加密的服务间通信。