SSL Терминация жана Балансировщиктер

Кыскача резюме

SSL/TLS-терминдештирүү колдонмолордон крипто жүктү алып салат жана L7-багыттоо, WAF, rate-limit, mTLS, канарейка релиздерине жол ачат. Негизги чечимдер: Кайда TLS (edge/ingress/mesh ичинде) бүтүрүү үчүн, кантип баланстоо (L4 vs L7), кандай шифр профилдерин колдонуу керек, downtime жок күбөлүктөрдү кантип жаңыртуу керек жана кантип p95 жашыруун жана SLO каталарын сактоо керек.

Кайда TLS аягына чыгаруу үчүн

четинде (CDN/Anycast/WAF): минималдуу жашыруун колдонуучу, глобалдык коргоо, кэш/бот контролдоо. Андан ары - кайра-encrypt.
Ingress L7 (Nginx/Envoy/HAProxy/ALB): URI/аталыштары, mTLS, JWT-validation боюнча жука багыттоо.
Thread TLS (passthrough L4): end-to-end mTLS pod/service (мисалы, катуу комплаенс зонасы) керек болгондо.
Service Mesh (Envoy/Istio/Linkerd): кластер, саясат жана телеметрия ичинде автоматташтырылган mTLS.

Practice: көбүрөөк - ingress чейин edge terminate → re-encrypt; PII/төлөмдөр үчүн - тейлөөгө чейин mTLS.

L4 vs L7 балансы

L4 (TCP/UDP): минималдуу кечигүү, жөнөкөй ден соолук-текшерүү (порт/ТСР), passthrough TLS. L7-fich жетишсиздиги менен TLS боюнча gRPC үчүн ылайыктуу.
L7 (HTTP/HTTPS/HTTP3): хост/жол/аталыштар/cookies, WAF, rate-limits, канар релиздери, sticky-сессиялар, ретрайлер/таймауттар боюнча багыттоо.

TLS: версиялар, ачкычтар, шифрлер

Версиялар: TLS 1. 3 бардык жерде, TLS 1. 2 fallback катары. 1 өчүрүү. 0/1. 1.
Ачкычтар/ачкычтар: ECDSA (P-256) - RSA тезирээк; эски үчүн кош-стек (ECDSA + RSA) болот.
ALPN: `h2` и `http/1. 1`; HTTP/3 үчүн - 'h3' (QUIC/UDP).
OCSP Stapling: камтыйт; коомдук домендерде HSTS.
Ачкыч бассейндер: KMS/HSM сактоо; автоматтык узартуу (ASME/ишеним дарагы).
0-RTT (TLS 1. 3): чекиттик (GET/демпотенттик) киргизүү, кайталоо тобокелдигин эске алуу.

Негизги шифр профили (TLS 1. 2): `ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-CHACHA20-POLY1305`

TLS аткаруу

Resumption: session tickets/IDs - handshake наркын төмөндөтүү.
ECDSA + ChaCha20 мобилдик/AES-NI жок жардам берет.
OCSP Stapling + кыска чынжыр p95 азайтат.
HTTP/2/3: multiplexing, аз байланыш → p95 төмөн.
Offload: крипто астында PIN CPU ядро, reuseport, tune socket-буферлер кирет.

Коопсуздук

mTLS: администраторлор/API операторлору үчүн client-cert талап; CRL/OCSP кайра чакыртып алуу үчүн.
SNI/ECH: SNI - стандарт; ECH (Encr. ClientHello) доменин жашырат (эгерде edge-провайдер колдосо).
Strict Transport Security (HSTS): прод-домендер, баштоо этияттык менен.
TLS hop-ами ортосунда: кызмат үчүн re-encrypt, ал тургай, DC ичинде (Zero-Trust).
Rate-limit/Grey-Wolfs: L7 боттор/brutfors api коргойт.

Байкоо жана SLO

SLO (мисалдар)

p95 TLS-handshake ≤ 80-120 мс (дүйнөлүк), p95 TTFB ≤ 200-300 мс.
TLS каталары (handshake/peer-verify) ≤ 0. 1%.
Резюмпшендердин үлүшү кайра баруу үчүн 70% ≥.

Метрика

`handshake_time`, `tls_version`, `alpn`, `cert_expiry_days`, `ocsp_staple_status`.
L7: `p50/p95/p99`, `5xx`, `429`, `upstream_rq_time`, `retry_budget`.
Capacity: активдүү байланыштар, CPS (connections per second), RPS.

Типтүү конфиги

Nginx (L7 terminate + HTTP/2 + OCSP stapling)

nginx server {
listen 443 ssl http2 reuseport;
server_name api.example.com;

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:...:ECDHE-RSA-CHACHA20-POLY1305';
ssl_ecdh_curve X25519:P-256;
ssl_certificate   /etc/ssl/cert.pem;    # полная цепочка ssl_certificate_key /etc/ssl/key.pem;
ssl_stapling on; ssl_stapling_verify on;
ssl_session_cache shared:SSL:50m; ssl_session_timeout 1d;

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

location / {
proxy_set_header Host $host;
proxy_set_header X-Forwarded-Proto https;
proxy_pass https://upstream_pool;
}
}

upstream upstream_pool {
zone backends 64k;
server 10.0.1.10:8443 max_fails=3 fail_timeout=10s;
server 10.0.1.11:8443 max_fails=3 fail_timeout=10s;
keepalive 256;
}

HAProxy (L7 terminate + stickiness + mTLS үчүн арткы)

haproxy frontend fe_https bind:443 ssl crt /etc/haproxy/certs/ alpn h2,http/1.1 mode http http-response set-header Strict-Transport-Security max-age=31536000 default_backend be_api

backend be_api mode http balance roundrobin cookie SRV insert indirect nocache option httpchk GET /healthz server s1 10.0.1.10:8443 check ssl verify required ca-file /etc/haproxy/ca.pem server s2 10.0.1.11:8443 check ssl verify required ca-file /etc/haproxy/ca.pem

Envoy (L7 terminate + mTLS кардардан + канарейка)

yaml static_resources:
listeners:
- name: https address: { socket_address: { address: 0.0.0.0, port_value: 443 } }
filter_chains:
- filters:
- name: envoy.filters.network.http_connection_manager typed_config:
"@type": type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager stat_prefix: ingress route_config:
virtual_hosts:
- name: api domains: ["api.example.com"]
routes:
- match: { prefix: "/" }
route:
weighted_clusters:
clusters:
- name: api-stable weight: 95
- name: api-canary weight: 5 http_filters:
- name: envoy.filters.http.router transport_socket:
name: envoy.transport_sockets.tls typed_config:
"@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.DownstreamTlsContext common_tls_context:
tls_certificates:
- certificate_chain: { filename: "/etc/tls/cert.pem" }
private_key:   { filename: "/etc/tls/key.pem" }
validation_context:       # mTLS (опционально)
trusted_ca: { filename: "/etc/tls/ca.pem" }
require_client_certificate: true

AWS ALB/NLB (түшүнүк)

ALB (L7 terminate): HTTPS listener 443 (TLS 1. 2/1. 3), target group HTTPs:8443, health-check `/healthz`, stickiness (cookie).
NLB (L4 passthrough): TLS listener 443, TCP ден соолук-текшерүү, SNI аркылуу pod.
CloudFront/Cloudflare: TLS edge + WAF + Bot-башкаруу; origin — HTTPS only.

Downtime жок күбөлүктөрдү жаңыртуу

ACME (Let's Encrypt/Private CA) автоматтык жаңыртуу жана ысык кайра жүктөө менен (Nginx 'reload', Envoy SDS).
Кош сертификаттар (ECDSA + RSA) миграцияда.
чынжыр башкаруу: аралык CA текшерүү; OCSP айлануу кийин stapling.
Alerty: 'cert _ expiry _ days <21' жана 'ocsp _ status! = good'.

Ден соолук-текшерүү жана багыттоо

L4: TCP connect, TLS handshake.
L7: HTTP 200/JSON-маркер версия, gRPC ден соолук.
Саясат: failover, weighted, latency, consistent-hash (cookie/IP) үчүн sticky.
Ретраи/таймауттар: туруктуулук менен дубликаттардын ортосундагы баланс (демпотенттүүлүк!).

Kubernetes үлгүлөрү

Ingress Controller (Nginx/Envoy/HAProxy): Ингресстеги терминация, DNS жазуулары үчүн 'ExternalDNS', ACME үчүн 'cert-manager'.
Gateway API: канарейка менен TLSRoute/HTTPRoute жарыя.
Service Mesh: автоматтык mTLS pod pod, деңгээл саясат 'PeerAuthentication '/' DestinationRule'.

Коопсуздук чек тизмеси

TLS 1. 3 киргизилген; 1. 0/1. 1 өчүрүлгөн.
Заманбап шифрлер; ECDSA-Corts колдоо берет жерде.
OCSP stapling, толук чынжыр, HSTS.
mTLS администраторлор/interconnects үчүн; кардарлардын сертификаттарын ревокациялоо.
четинде Rate-limit/бот чыпкалар; slowloris/oversized headers каршы коргоо.
Re-encrypt (Zero-Trust).
KMS/HSM сырлар/ачкычтар; ротация жана берүү аудити.

Байкоо жана аллергия

Метрики: TLS handshakes/sec, failure rate, session resumption rate, OCSP, p95/99, open conns, CPS, RPS.
Logs: SNI/ALPN/TLS версия, cipher, кардар күбөлүк (mTLS үчүн), upstream коддору, latency breakdown.
Alerty: '5xx/525' өсүшү, resumption, 'cert _ expiry _ days', 'ocsp _ failed', p95 ашып, '429' жарылуулар.

Типтүү каталар

четте Терминация жана коргоосуз ичинде plain HTTP.
Өтө узун чынжыр CA → өсүш p95 handshake.
кардарлар/браузерлер боюнча OCSP stapling → бөгөт жок.
Sticky-сессияларын эске албаганда failover → деградация түйүнүндө "жабышуу".
0-RTT өзгөрүлмө суроолор үчүн киргизилген → кайра берүү коркунучу.
Жок Hot-reload Server → айлануу учурунда секундасына тамчы.

iGaming/Fintech үчүн өзгөчөлүктөрү

Чокулары (турнирлер/матчтар): TLS сессияларын жылытуу (pre-connect), кыска чынжырлар, жогорку resumption үлүшү, фронттор үчүн HTTP/2/3.
Төлөм шлюздары/PSP: mTLS, катуу ciphers/версиялары, pinned CA, катуу эрежелер менен жеке домендер/ALB.
Антифрод/бот фильтрлери: IP/ASN/device-fingerprint аркылуу L7-rate-limit, өзүнчө домендеги канареялык боз букачарлар (челлендж/капча).
Жөнгө салуучу: HSTS, текшерилүүчү TLS-параметрлер журналдары, версиялар боюнча отчеттор, инциденттер боюнча кардар сертификаттарын чакыртып алуу.

Mini Playbook

Канар релизи аркылуу L7-балансы

1. 5% салмагы менен 'api-canary' кластерин кошуу; 2) p95/каталарды ээрчип; 3) 5→25→50→100%; 4) деградацияда автоматтык түрдө айлануу.

Шашылыш Rotation күбөлүк

1. жүктөп алуу жаңы cert/key; 2) 'reload' коннекттердин түшүүсүз (SDS/ысык алмаштыруу); 3) OCSP текшерүү; 4) dashboard p95 handshake.

HTTP/3 киргизүү

1. Ачуу UDP/443; 2) ALPN 'h3' кошуу; 3) өзүнчө QUIC loss/RTT метриктер; 4) кардарлардын үлүшү боюнча A/B.

Жыйынтык

Эффективдүү SSL терминациясы - бул заманбап TLS профили, туура аяктоо жери, акылдуу L7 багыттоо, байкоо жана катуу коопсуздук (mTLS, HSTS, re-encrypt). IaC баарын чечүү, автоматташтырылган айлануу, p95/каталарды өлчөө жана канарейлерди колдонуу - ошентип, фронт чокулардан аман калат жана алдын ала тез жана коопсуз болот.