rest - 最简单的服务器到服务器身份验证

Question

我在一个新的服务器/vps 上有微服务，它只会被单体应用通过 REST 调用来执行一些繁重的工作，然后在几分钟内将操作结果发布回单体。

我应该如何保护这两个端点？我认为目前我的主要目标只是防止找到服务器地址的人能够做任何事情。

几乎我谷歌搜索的每一个解决方案似乎都是矫枉过正/过早的优化。

我在每台机器上生成一次随机长 token 然后将它传递给 header 并检查它是否存在于另一端就足够了吗？

我什至需要 SSL 吗？据我所知，我们需要为试图通过无线或不安全的共享网络发送敏感数据的客户端进行 SSL 加密。

有人会窃听两个 digitalocean vps 通过 http 发送数据的可能性有多大(甚至可能吗？)？以前发生过吗？

Answer 1

Q: Is it sufficient that I generate random long token once on each machine and then just pass it to headers and check it's presence on the other end?

答:通常微服务位于 GateKeeper/Gateway(nginx，haproxy)之后，因此您可以公开所需的端点。在你的情况下，我建议创建一个 private network在两个 vps 之间并在该内部 IP 上公开您的微服务。

Q: Do I even need to SSL this? As far as I understand we need SSL encryption for clients that are trying to send sensitive data via wireless or unsafe shared networks.

答:不需要。如果您使用内部网络并且不向公众公开，那么就不需要 SSL/TLS。如果你想用 Tier 3/4 做点什么那么您将需要对跨数据中心通信进行加密。

Q: What are the chances(is it even possible?) that somebody is gonna eavesdrop between two digitalocean vps's sending data via http? Did it ever happen before ?

答:有些机器人会扫描服务器/计算机上的开放端口并尝试利用漏洞渗透它们。在所有情况下始终使用防火墙，如 UFW/firewalld。

假设您有两台服务器，这些微服务使用您最喜欢的提供商提供的内部专用网络:

VPS1(ip = 10.0.1.50)

FooBarService:1337
BarFooService:7331

VPS2(ip = 10.0.1.51)

AnotherMicroService:9999

现在两个 VPS 都可以通过简单地调用 ip + 端口来访问对方的服务。

祝你好运。