具有SNI的Apache HTTPS反向代理，代理上沒有密鑰

Question

example1.com和example2.com解析為host0。 host0運行帶有兩個VirtualHost的Apache反向代理。 它將example1.com的請求委托給host1，將example2.com的請求委托給host2。

在所有地方使用http，顯然可以使用。

使用https，我可以在example0上粘貼example1.com和example2.com的密鑰，然后讓host0與host1和host2通話http或https。 鑒於SNI，這也應該有效。

我的問題：如果沒有host0.com上的example1.com或example2.com密鑰，它可以工作嗎？ 我想避免host0能夠執行中間人攻擊。

如果我正確理解SNI，則僅在客戶端將所需的虛擬主機傳送到host0之后才交換密鑰材料。 這應該是（？）足夠的信息，以便Apache基本上轉發到host1或host2的連接，而根本不查看傳輸的內容。 這根本不需要關鍵材料。

Answer 1

你真的需要Apache反向代理，還是需要解決問題？ 我遇到了同樣的問題，我在tcp模式下用HAProxy解決了這個問題，如http://blog.haproxy.com/2012/04/13/enhanced-ssl-load-balancing-with-server-name-indication-sni -tls-extension /而不是Apache反向代理。

Answer 2

如果您不介意使用Nginx或HAProxy而不是Apache，您可以在ServerFault的以下問題中找到好的答案：

• 反向代理可以使用帶SSL的SNI通過嗎？