ssl - 您将如何通过 netscaler 与 weblogic 端到端设置 SSL

Question

weblogic 和 netscaler 的新手需要架构方面的帮助

我想向互联网公开 weblogic 上的服务，以便移动用户可以访问 web 服务。当前，当用户直接访问网站时，内部流量正常，例如 http://xxx.internal.local:7001

我需要为内部用户和外部用户端到端启用 SSL以及从外部和内部访问网络服务的能力

交通流量

• 外部用户|||| <--HTTPS-->||||网络缩放器|||| <--HTTPS--> 网络逻辑服务器
• 内部用户直接连接到 weblogic
• 内部用户将使用 https://xxx.internal.local:7002
  • (私有(private) DNS 和 IP 地址)
• 外部用户将使用 https://xxx.external.com:443
  • (公共(public) DNS 和 IP 地址)

SAN 证书(具有本地域和外部域)已安装并导入到 weblogic Java keystore 中。

实现此目标的最佳方法是什么？

我们尝试过的事情

Netscaler 管理员在 Netscaler 上配置 SSL 直通 - 例如，不解密并重新加密并将 443 端口转发到 7002

内部 DNS 中的 CNAME 设置将 xxx.external.com 指向 xxx.internal.local

• 到 https://xxx.internal.local:7002 的内部流量正常且已加密
• 外部流量失败并向用户显示证书错误

我不清楚应该如何配置外部域和内部域以及让 netscaler 进行 SSL 桥接 - 是否有更好的方法来完成这项工作 - 例如让 netscaler 在 VIP 卸载 SSL 并重新加密回 weblogic并更改 HTTP 主机 header 以匹配内部域名(反向代理)

提前致谢

Answer 1

感谢大家的反馈。测试工作解决方案如下。

• 在 Netscaler 和 weblogic 服务器上安装一个公开生成的 SAN 证书(在 SAN 条目中具有 ext 域和内部域)

• 外部用户将使用外部域 url ' https://xxx.external.com:443 '外部 SSL 流量将在 Netscaler 解密并重新加密后终止到端口 7002 上的内部 weblogic 服务器。 Netscaler 还将请求 中的HTTP 主机 header 更改为内部主机名，还将响应 Http 主机 header 更改为外部主机名。

• 内部用户将只使用内部域 url，例如 https://xxx.internal.local:7002

• 据我所知，证书提供商不再为内部域颁发证书，因此这可能对您不起作用。但我想解决这个问题。您可以使用内部域名生成内部 CA 证书。安装在 weblogic 服务器和 netscaler 上。使用外部域名购买公开生成的证书并安装在 Netscaler 上。因此外部流量将使用公共(public)证书来加密流量 - 内部流量将使用内部证书加密。