Wir haben eine Webserverfarm, auf der derzeit 2 Anwendungen gehostet werden - beide Anwendungen werden auf allen Servern ausgeführt. Wir möchten dies aufteilen, damit wir für jede App eine dedizierte Serverfarm haben (wir haben gute Gründe dafür).
Wir hatten gehofft, einen einzigen Load-Balancer vor allen Servern zu haben, der den Datenverkehr basierend auf dem Hostnamen an die richtige Farm weiterleitet, aber wir möchten SSL für die Webserver beibehalten.
Es scheint, dass die Router, die uns angeboten werden, dies nicht tun. Ich schätze, dass dies ohne SNI unmöglich ist, aber wir erwarten SNI-Indikatoren für praktisch unseren gesamten Verkehr.
Jetzt bin ich ein Programmierer, kein Netzwerk-Typ, aber wenn eine neue SSL-Verbindungsanforderung eingeht, kann der Router den SNI-Header nicht untersuchen und zur richtigen Farm weiterleiten. Ich gehe davon aus, dass die eingehende SSL-Verbindung durch {Quell-IP: Quellport} identifiziert wird. Kann sie sich also nicht an nachfolgende eingehende Pakete erinnern (wenn SNI nur im ersten Paket vorhanden ist)?
Soweit ich das beurteilen kann, tut Haproxy dies, aber es scheint, als ob Hardware-Load-Balancer dies nicht tun. Gibt es einen Grund dafür oder sollten wir darauf drängen?
(Für den letzten Wächter, der IE unter XP verwendet und kein SNI enthält, möchten wir Datenverkehr an die alte Farm senden und bei Bedarf das Proxying an die neue Farm verwalten.)