將SSL添加到Node.js端點：NGINX vs端點

Question

我需要將SSL添加到多個Node.js服務中，每個服務都在自己的端口上偵聽，並且具有NGINX來將它們映射到我們的公共“ api”域。

由於發布了新的安全策略，因此現在必須強制所有服務僅在SSL連接上起作用。

由於我不習慣使用SSL證書，因此我不清楚在NGINX上設置SSL並使NGINX本身通過代理傳遞到http：//連接或具有真正的node.js端點可能有什么好處。成為SSL服務器和（然后通過代理傳遞到https：//）。

我想使用NGINX解決方案，我可以重復使用相同的SSL證書，將其添加到我們的“ api”域中，而每個不同的SSL節點服務器都需要一個不同的證書。 然后，對於進入這樣的生產環境，我是否應該使用自簽名證書（因為端點是通過其他服務來訪問的），還是應該像完全屬於公共領域一樣，是受CA信任的證書？

我在考慮中缺少什么？

Answer 1

我假設NGINX是面向公眾的，而nodejs服務是內部的（即，公共Web用戶不能直接訪問）。

1. 您只能保護公共網絡與NGINX之間的連接。 NGINX和NodeJS服務之間的傳輸是內部的，不需要保護。 這是對CPU的極大浪費。

2. 對於NGINX，您可以從有效的證書頒發機構購買證書。 對於內部服務，您可以使用自簽名（即，您自己的內部證書頒發機構生成的證書），但是如上所述，您不需要在內部使用SSL。