9.5. SNI를 사용하여 TLS 종료 HTTPS 로드 밸런서 생성
SNI(Server Name Indication) 기술을 사용하는 TLS 종료 HTTPS 로드 밸런서의 경우 단일 리스너에 여러 TLS 인증서를 포함하고 로드 밸런서에서 공유 IP를 사용할 때 표시할 인증서를 확인할 수 있습니다. 또한 백엔드 멤버를 계속 사용할 수 있도록 상태 모니터를 생성하는 것이 좋습니다.
사전 요구 사항
- TCP 포트 80에서 비보안 HTTP 애플리케이션을 호스팅하는 백엔드 서버가 포함된 프라이빗 서브넷.
-
백엔드 서버는 URL 경로
/
에 상태 점검으로 구성됩니다. - 인터넷에서 도달할 수 있는 공유 외부(공용) 서브넷입니다.
TLS 공개 키 암호화는 다음과 같은 특성을 사용하여 구성됩니다.
-
로드 밸런서 VIP 주소에 할당된 DNS 이름(예:
www.example.com
및www2.example.com
)의 외부 인증 기관(CA)에서 여러 TLS 인증서, 키 및 중간 인증서 체인을 확보할 수 있습니다. - 키와 인증서는 PEM으로 인코딩됩니다.
- 키는 암호로 암호화되지 않습니다.
-
로드 밸런서 VIP 주소에 할당된 DNS 이름(예:
- Key Manager 서비스(barbican)를 사용하도록 로드 밸런싱 서비스(octavia)를 구성해야 합니다. 자세한 내용은 OpenStack Key Manager를 사용하여 시크릿 관리 가이드 를 참조하십시오.
절차
SNI 목록의 각 TLS 인증서에 대해 키(server
.key), 인증서(server.
crt
) 및 중간 인증서 체인(ca-chain.crt
)을 하나의 PKCS12 파일(server.p12)으로 결합합니다.이 예제에서는 인증서(www.example.com 및
www2.example.com
)에 대해 두 개의 PKCS12
파일(server.p12 및 server2.p
12)
을 생성합니다.참고괄호 안의 값은 이 절차의 예제 명령에 사용되는 샘플 값입니다. 이러한 샘플 값을 사이트에 적합한 값으로 바꿉니다.
$ openssl pkcs12 -export -inkey server.key -in server.crt -certfile ca-chain.crt -passout pass: -out server.p12 $ openssl pkcs12 -export -inkey server2.key -in server2.crt -certfile ca-chain2.crt -passout pass: -out server2.p12
자격 증명 파일을 가져옵니다.
예제
$ source ~/overcloudrc
Key Manager 서비스를 사용하여 PKCS12 파일에 시크릿 리소스(
tls_secret1
및tls_secret2
)를 생성합니다.$ openstack secret store --name='tls_secret1' -t 'application/octet-stream' -e 'base64' --payload="$(base64 < server.p12)" $ openstack secret store --name='tls_secret2' -t 'application/octet-stream' -e 'base64' --payload="$(base64 < server2.p12)"
공용 서브넷(public
_subnet
)에서 로드 밸런서(lb
1)를 만듭니다.$ openstack loadbalancer create --name lb1 --vip-subnet-id public_subnet
로드 밸런서의 상태를 모니터링합니다.
예제
$ openstack loadbalancer show lb1
-
다음 단계로 진행하기 전에
provisioning_status
가 EgressIP 인지확인합니다
. TERMINATED_HTTPS 리스너(
listener1
)를 생성하고 SNI를 사용하여 보안 리소스를 모두 참조합니다.(리스너의 기본 TLS 컨테이너로
tls_secret1
참조)$ openstack loadbalancer listener create --protocol-port 443 \ --protocol TERMINATED_HTTPS --name listener1 \ --default-tls-container=$(openstack secret list | awk '/ tls_secret1 / {print $2}') \ --sni-container-refs $(openstack secret list | awk '/ tls_secret1 / {print $2}') \ $(openstack secret list | awk '/ tls_secret2 / {print $2}') -- lb1
풀(
pool1)을 만들고
리스너의 기본 풀로 설정합니다.$ openstack loadbalancer pool create --name pool1 --lb-algorithm ROUND_ROBIN --listener listener1 --protocol HTTP
백엔드 서버에 연결하고 경로(
/
)를 테스트하는 풀(pool1
)에 상태 모니터를 생성합니다.예제
$ openstack loadbalancer healthmonitor create --delay 15 --max-retries 4 --timeout 10 --type HTTP --url-path / pool1
프라이빗 서브넷(
private_subnet
)의 비보안 HTTP 백엔드 서버(192.0.2.10
및192.0.2.11)
를 풀에 추가합니다.$ openstack loadbalancer member create --subnet-id private_subnet --address 192.0.2.10 --protocol-port 80 pool1 $ openstack loadbalancer member create --subnet-id private_subnet --address 192.0.2.11 --protocol-port 80 pool1
검증
로드 밸런서(
lb1
) 설정을 보고 확인합니다.예제
$ openstack loadbalancer show lb1
샘플 출력
+---------------------+--------------------------------------+ | Field | Value | +---------------------+--------------------------------------+ | admin_state_up | True | | created_at | 2022-01-15T11:11:09 | | description | | | flavor | | | id | 788fe121-3dec-4e1b-8360-4020642238b0 | | listeners | 09f28053-fde8-4c78-88b9-0f191d84120e | | name | lb1 | | operating_status | ONLINE | | pools | 627842b3-eed8-4f5f-9f4a-01a738e64d6a | | project_id | dda678ca5b1241e7ad7bf7eb211a2fd7 | | provider | amphora | | provisioning_status | ACTIVE | | updated_at | 2022-01-15T11:12:42 | | vip_address | 198.51.100.11 | | vip_network_id | 9bca13be-f18d-49a5-a83d-9d487827fd16 | | vip_port_id | 69a85edd-5b1c-458f-96f2-b4552b15b8e6 | | vip_qos_policy_id | None | | vip_subnet_id | 5bd7334b-49b3-4849-b3a2-b0b83852dba1 | +---------------------+--------------------------------------+
상태 모니터가 올바르게 작동하고 있는 경우 각 멤버의 상태를 확인할 수 있습니다.
작동 중인 멤버(
b85c807e-4d7c-4cd-b725-5e8afddf80d2
)에는operating_status
의ONLINE
값이 있습니다.예제
$ openstack loadbalancer member show pool1 b85c807e-4d7c-4cbd-b725-5e8afddf80d2
샘플 출력
+---------------------+--------------------------------------+ | Field | Value | +---------------------+--------------------------------------+ | address | 192.0.2.10 | | admin_state_up | True | | created_at | 2022-01-15T11:11:09 | | id | b85c807e-4d7c-4cbd-b725-5e8afddf80d2 | | name | | | operating_status | ONLINE | | project_id | dda678ca5b1241e7ad7bf7eb211a2fd7 | | protocol_port | 80 | | provisioning_status | ACTIVE | | subnet_id | 5bd7334b-49b3-4849-b3a2-b0b83852dba1 | | updated_at | 2022-01-15T11:12:42 | | weight | 1 | | monitor_port | None | | monitor_address | None | | backup | False | +---------------------+--------------------------------------+
추가 리소스
- OpenStack 키 관리자 가이드를 통해 시크릿 관리.
- 명령줄 인터페이스 참조 의 LoadBalancer