SSLのロードバランス

このエントリーをはてなブックマークに追加
1浜崎あゆみ
SSLの通信をロードバランスさせようとしていますが
IEではSSL-IDがセッション中に変化するので×
クッキーはブラウザでOFFにしたら×
結局、ソースアドレスでやってもProxyからでてくるものは一つのアドレスでまとめられてしまうので
同じサーバに負荷がかかってしまう・・・。
現在のテクノロジーではどのように解決してるのでしょうか?
教えてください。
2鬼束ちひろ:2001/05/28(月) 18:15
そこらへんの負荷分散箱つかえばいいんでは?
ほとんどのやつはSSL-IDをみて振り分けられてくれるよ
ってゆーか、>>1 はどんなほうほうでやってんの?
3浜崎あゆみ:2001/05/28(月) 18:18
ごめんなさい・・・。
ロードバランスだけでなくパーシステンスも必要な通信でした。
ロードバランスだけだったら簡単なんですけどね・・・。
4sage:2001/05/28(月) 21:02
URL に埋め込むんじゃないでしょうか。

↓これとかは多分そうでしょ?
http://www.cisco.com/japanese/warp/public/3/jp/solution/sp/css11000/topics.html#004
5age:2001/05/29(火) 16:55
age
6浜崎あゆみ:2001/05/29(火) 18:39
URIを使うパーシステンスはブラウザフォン向けのソリューションですね。
この場合、サーバ側のスクリプトでURLにIDを付加して
次の通信でそのIDをみてパーシステンスをすると認識していますが
通常の端末からのアクセスでもつかえるのでしょうか?
SSLの通信でサーバ側がIDを付加してくれるのでしょうか?
作りこみすればできそうですが、、、
7anonymous:2001/05/29(火) 18:50
日経コミュニケーションの2-19に記事があったよ。
まだ見えぬ負荷分散の定石ってやつ。

負荷分散装置の前でSSLを復号する必要があるって書いてあるんだけど
URI埋め込みもそうなのか?
そのへんがわからん。
8[email protected]:2001/05/30(水) 23:16
SSL+パーシステンス?
BIG-IP
以上。

っていうかあんた自作自伝の宣伝?
NTT-MEの駄目社員なのかな>1
9anony:2001/05/31(木) 00:38
>>8
君はセ○ム情報の馬鹿社員?
10浜崎あゆみ:2001/05/31(木) 02:19
>8
ドキュソの書き込みはいらないです。
結局、説明できてませんね。
私は質問をしているのです。宣伝なんかどこにもしてませんよ。
11anonymous:2001/05/31(木) 02:55
>>8
凄い妄想力ですね。どこにも製品名出てないのに。
BIG-IPだって取り扱いはNTT-MEだけじゃないでしょ。
12ムズカシネ:2001/05/31(木) 09:40
1>>
おいらも同じトラブルで悩んでた。で、結論。IEの(WINDOWS)の
レジストリ変えれば(2分だったっけ?)のSESSION IDの変更は
されない。試してみそ。
13nanasisan:2001/05/31(木) 10:27
>>12
クライアントが不特定多数の場合はダメじゃん。
14ソカ?:2001/05/31(木) 11:52
>>13
SSL stickyはsession to sessionでの認証だから、Poricy serverから
一度認証をもらってしまえば、その間のPASSは同一session IDであれば
間のCSS、LDなどの不可分散装置で均等に(per session, round robin等)
で、やってくれるよ。つまり、クライアントには依存しない。
IPでのstickyはダメだけどね。cockyでも理屈ではできるけど、
やった事無いから分からない。
15anonymous:2001/05/31(木) 17:51
>>14
SSL Session IDが短い周期で変わる場合の話しをしてるのでは?
IEのリジストリをいじるってのは公開サーバではソリューションにならない
と思うが。
ドコモの端末もSSL Session IDが変わるらしいぞ。
16うちはalteon全盛:2001/07/01(日) 11:18 ID:.tVrH9FA
方法はいくつかあると思う
1.BIG-IPみたいにSSLのひんばんな最ネゴシエーションに対応した
ロードバランサを使う。(BIG-IP以外に出来るのある?)

2.前のスレで述べられていた様に、ロードバランサの手前にSSL専用機
を置いて復号化してしまう。で、パーシステンスはURLに識別IDを埋め
込んで行う。

3.2の応用だけど、セッションフェイルオーバー機能を持ったWebアプリ
ケーションサーバ(WebLogic/iPlanet etc)に整合性の維持は任せて
ロードバランサーはランダムに振り分けるに徹する

4.Cookieがダメならhiddenで対処

5.Webサーバ側にミドルウェア作り込み。URLにアプリサーバの
アドレスを埋め込んでしまい、ミドルウェアはそのアドレスに
従いアプリサーバにつなぎ込む仕組みにする。そうすればロード
バランサはランダムに振り分けるだけですむ。(某社のアプリ
サーバのパクリアイデアだけど)
17nobody:2001/07/01(日) 12:25 ID:tcWrfK.M
手前で復号化すると、サーバーの負荷が下がっていいですよ、と代理店が言って
いたなあ。
18なな氏ちゃん:2001/07/01(日) 13:02 ID:tm.CHcYQ
SSLアクセラレータの二重化がむずかしいYO
19anon:2001/07/01(日) 13:07 ID:.tVrH9FA
>>18
多くのサイトは1台で十分なのでは?
偏りがあったとしても、アプリサーバほど負荷は深刻にならないと
思われるので、Source IPでSSLに振り分けても良いだろうし。
甘い?
20名無しさん:2001/07/01(日) 13:17 ID:xMfsN33E
うちは3でやっているけど、アクセラレータが一台です。
Intelの7110だけど大丈夫かな。
BIG-IPをHAで組むと800万円〜1000万円になるという見積もりをもらってこれは手が出ないと思いました。
21IP屋:2001/07/01(日) 22:54 ID:???
ちなみにintelのSSL製品安いの?評価は?
22なな氏ちゃん:2001/07/02(月) 00:26 ID:Vmk/fAu2
18っす。
金融関係なので、二重化必須なのです。要件的に。
23ssl id:2001/07/08(日) 10:02 ID:m024lt7U
けっきょく1はどう解決したのよ?
24session ID:2001/07/12(木) 14:00 ID:???
私もSSL + LBで困っている一人です。

>>22
Alteon switchは1台の機械に2つのアクセラレータを冗長のためつけられる。また、
Switch自体冗長可できる。

>>21 >>20
SSLだけの話であれば安いのでは?

>>19
十分かどうかでなく、金融では意味も無くとりあえず
冗長は必須なのよ。

>>18 F5, AlteonとSSL単体(Intel)を組み合わせる
方法もあるが、

>>17
SUNでCPU負荷測ってみるとわかるよ。SSLのジェネレータは
そこらへんにある。

>>16
hiddenのやり方教えて下さい。

Session IDがころころ変わる件については
各社対応済み。(Alteon, Intel, F5)

URIに埋め込むのは常道だけど、やっぱり
ネットワークだけで極力対処したいのだけど。

App Serverは1 CPUあたり500万もするから却下。
Weblogicあまり良い話聞かないが、詳細希望。
25コクチマス:2001/07/15(日) 23:34 ID:zHFDNoyY
>>24
>Session IDがころころ変わる件については
>各社対応済み。(Alteon, Intel, F5)

これ、詳細キボン。

うちは、ネットワークできたあとから、ユーザがログインしてログアウト
するまで同一サーバじゃないとダメなんて仕様が判明して(あれだけ確認
したのによ)、結局SSLアクセスはアドレス固定にしたけど。
間抜け杉。
26サポセン人:2001/07/15(日) 23:38 ID:???
>>25
某証券ですな。
27session ID変更:2001/07/16(月) 19:24 ID:???
>>25
session IDを覚えていて、新しいsession IDに変わった時に、
古い番号から新しい番号への引継ぎを行うというのが私の知っている
唯一の方法。メーカにより違うかもしれないけど、そこまでは不明。

現在server stickeyを解決できる一番確実なのはCookieによる方法である
事に変わりは無いのでは。そうでなければServer側でcgiを組む
及び、app serverなど。

server timeout, ネットワークのtimeout値の微妙な調整により、
LBは動いたり動かなかったりする。こればかりはSI業者のノウハウ
になるだろうね。かなり裏技のため、一般的な本には全然書かれて
いない。みんなこれで幾や徹夜を経験したことか...
メーカのサポートチームは猛省すべきだね。
28コクチマス:2001/07/17(火) 10:40 ID:8UPZLS/.
>>27
解説サンクス。
古い番号から新しい番号、って、どうやってひきつぐんだろう???

>メーカのサポートチームは猛省すべきだね。
禿同。

>>26
ちがうよん。でもどこも同じようなダサイ解決策しかないのね。
29session IDまた変更:2001/07/17(火) 19:40 ID:???
>>28
Session IDはブラウザが発行する。新しいSession IDに変更
する時に、古いsession IDを同じパケットに付けて送ってくる。
LBは、このパケットの中にあるsession IDが、以前使用していた
IDと同じである事を読み取って同じ一連のsessionだと判断する。詳しくは
SSLのRFCがあるのでチャレンジしてみてください。このRFC,
すっごく難しいので暗号化の解説についてはお手上げでした。
30コクチマス:2001/07/17(火) 23:31 ID:???
>>29
サンクス!! 勉強します。
31SSL再ネゴシエーション対応:2001/07/21(土) 11:56 ID:ufqOKK7w
>>24
>>Session IDがころころ変わる件については
>>各社対応済み。(Alteon, Intel, F5)
BIG-IPが対応しているのは知っていたが、AlteonもOKなのですか?

>>hiddenのやり方
<INPUT TYPE=“hidden” NAME=......>

>>Weblogicあまり良い話聞かないが
そう?
具体的にはどの様な?
32sessionID再変更:2001/07/26(木) 12:28 ID:???
>>31
Alteon
うん。IEのversionに関係なく動いてる。

hidden
Thank you.

Weblogic
SSLとの絡みでどうなるかは知らないけど、Load balanceが正常に
動かない(実際には1つのサーバに負荷が集中する)というのを
小耳にはさんだもので。実際に自分で触っているわけでないので、
不正確な情報は混乱の元ですので、何かわかったらお知らせ
します。
33Alteoner:2001/07/29(日) 01:53 ID:MpWuDVkI
>>29
RFC番号きぼーん
34ServerIroner:2001/07/29(日) 15:14 ID:xoJl1obQ
age
3531:2001/08/05(日) 11:43 ID:kr8aTxbc
>>32
>>Weblogic
>>SSLとの絡みでどうなるかは知らないけど、Load balanceが正常に
>>動かない(実際には1つのサーバに負荷が集中する)
1台のサーバがセッション情報を管理するのはiPlanet。
WebLogicは分散で管理します。マスターとスレーブのセットが複数
あるって事。
だから、理論的にはWebLogicの方がスケーラビリティは上です。
でも、マスターが1台であっても、現実的にはそれほど問題には
ならないはず。アプリケーションサーバを何十台と並べる構成に
する人はあまりいないでしょうから。SMP機にして、出来るだけ
台数増えない様にするのがセオリー。
36age:2001/08/12(日) 12:31 ID:2SOl0J4A
age
37iSD:01/10/27 20:20 ID:S9dOgsVK
Alteon ACEdirector+iSDの組み合わせで一撃。
前段のACEdirectorは負荷分散はせず、2台の冗長構成で、iSDでSSLの
処理だけバランスさせる。
ACEdirectorが負荷に耐えれないほどのSSLのセッションが多いのなら
別だが、それは滅多にないのでは?
38anonymous@ nttkngw013211.flets.ppp.infoweb.ne.jp:01/11/02 01:21 ID:w/HSLpte
>>26
nomura證券?
39anonymous@ ea-tokyo-1-177.dsnw.ne.jp:01/11/23 15:57 ID:3OEh88+v
age
40age:01/11/23 16:48 ID:???
alteonはL4スイッチングやバランシング機能のみに限定すればすばらしいと思う

ただ、ヘルスチェックがいいかげんな感じだし、
リアルサーバが輻輳したとき、そいつ宛の滞留しているセッションを
別のリアルサーバに投げているようなフシがある

誰かAD3で同じような現象を経験してる人いない?
正直手詰まり状態
41ーーー:01/11/24 01:54 ID:FANxNtGK
「感じ」とか「フシがある」じゃなくて、もう少し突っ込んで調べてみようよ。
4240 :01/11/24 04:49 ID:???
>>41
かなりの負荷がかからんと症状で無いし、
そのかなりの負荷の中から該当するパケットを拾い出すのが大変なのよ

見つけたサンプルが少ないんで"フシ"とか"感じ"って言い方になっちゃうんだけど、
実際に発生してるのは確かだよ
43anonymous@ xdsl133233.210143.metallic.ne.jp:01/11/24 09:17 ID:BSeRuaYI
んーそれ言うたらBigIPも冗長構成とった時綺麗に切り替わらないで黙っちゃう時有るなぁ。
44ーーー:01/11/24 12:01 ID:FANxNtGK
>>42
ヘルスチェックがL7レベルであればそういう動作もあるかと。
45nobody:01/11/24 14:46 ID:???
>42

実はへルスチェック失敗してサーバ死んでいるとおもっているのでは?
/info/slb/real
を叩き続けてみるとか。

へルスチェックタイミングを延すとか。
4640:01/11/24 16:05 ID:???
>>45
多分、そのせいだとは思うんだけど、
確立してるセッションのパケットなのに、宛先が死んだら
ハンドシェイクしてない相手に流すっていう動作をしてることになるよね?

これって重大な欠陥じゃないのかと、、、
本来はそのままため込んで、タイムアウト前に実際の宛先が復活したら
そこに流すという動作が正しいのでは?
47名無しがご連絡します:02/02/10 01:14 ID:cNgXyXXz
BIGIPでSSLパケット平文にしてクッキーなりURIなりを
ルールで振り分けれるようになたーYO!!
バランス先を決定した後、サーバーに暗号文送るーYO!!
48ponta:02/02/10 07:05 ID:uzdrVlez
>>47
わかりにくいよ。
正しくは、BIG-IP上でSSLを複合化し、CookieやURIを参照して
バランス先を決定した後、もう一度SSLに暗号化してサーバに送る、だろ?
金融とかのPKIの世界では必要になってくるだろうね。
Ver4.2では、クライアントの証明書やクライアントのIPアドレスを
HTTPヘッダ内にインサートしてサーバに送ることもできる。

>>1への答えだが、PC向けサイトではSSL複合+Cookieパーシステンス使う。
モバイル向けはSSL複合+URIパーシステンス使う、というのがサーバへの
負荷を下げる意味でも、セッションIDの変化に対応する意味でも、いまのところ
唯一の解だよ。CookieがOFFのユーザーには警告を出すような仕組みを作って
おけばいい。この場合、バランサーはLayer7処理能力の高い製品を使用しないと
いけない。Alteonじゃだめだろ。F5が一番で後は予算と相談。
49名無しがご連絡します:02/02/10 14:44 ID:v56HlizL
>>48
正確だーYO!!
50金魚:02/02/19 01:07 ID:DkGcFxfT
F5はSSLが多いとCPU負荷高くなるし、どうせNICだから。
すっごい不思議なのはSSLの処理ってrainbowがやっているんじゃないの?なんで750TPSどまりなんだろう?
51金魚:02/02/19 01:23 ID:DkGcFxfT
f5がL7処理能力が高いの?ワイヤスピード出ていればあんまし気にしないんだけどとっても気になる。その前に、そこまで使用したこと無いんだけど。どこか資料落ちていない?
わたしゃ、Alteonを使っているんだけど、前、f5のセミナー行ったときAlteonだめだめの嘘ばっかりだったんだよなあ。あれだけ言われるとf5、特に2000とか5000とかイイナと思っても不審のカタマリ・・。f5、100TPSとは言わず200だったら太っ腹!だったよ。中途半端。
52あたぁ:02/02/19 16:58 ID:???
>>50
f5はSSLカード挿せるじゃん。
CPU負荷は問題にならネーよ。

>>51
f5以外でマトモニL7動くのは?
53金魚:02/02/19 21:52 ID:0d83qKGp
>>52
いやあね、前インタロップで負荷分散機いろいろ見ているときにT○Lの技術屋さんライクな人に750TPSってなんで中途半端な数字なの?って聞いたらCPUで限界なんですって言われたもんだから、そんなもんなのかなあって。
BIG-IP540でCPUが早くなって、800TPSになっていたのでやっぱそうなのかなって再度思ったりして。
まあ、そこまで多分使わないんだけどね、というより、使ってくれないんだけど。
日本人の悲しい性比較してしまっただけよ。でも、f5何でも出来そうで、手を出したいけど少しそういうのが怖いだけっす。
L7動くのはf5とAlteonとCSS(ArrowPoint)なんちゃうの?Ironは良く知りません。所詮、http headerの文字列カッティングしているだけだしぃ。CSMはL4までとか、風のうわさで聞いた。
54でもさあ:02/02/20 00:47 ID:???
>>53
金魚さん詳しそうなので、教えて!
BIG-IP5000とか2000とかってADやCSSと同じようにパフォーマンスいいの?
F5の代理店がすごいこといって帰ったけど。
55金魚:02/02/20 02:27 ID:Tp/9LY7i
>> 54
Tollyの資料にL7パフォーマンスのデータがあるとF5のセミナーで聞いた
よ。いいらしい。中身は有料なので見たことないです。
ただ、セミナーの内容が他社批判がひどかっただけに、にわかに信じがたい
んだよね。Radwareなんて乗りたくもない土俵に乗せられて価格比較されて
いるんだから。LD/CSSもAlteonもボロクソ。できる機能をできない、と言い
切られているし。Userの立場になって比較して欲しいよ。それだったらSSL
でたった100TPSで他のSSL Acceleratorの200〜600TPSと同じように書かれ
ている。
いまどき、800TPSがMAXってNetStructure7115の拡張性にも負けているよ。
まあ冷静になればフツーそこまで使わないんだけどさ。そんなつまらない部
分が気になるし突っ込み入れたくなる。
個人的に機能が充実していそうで、しかも速そう、安定していればと期待し
ていたBIG-IP2000/5000だけに、あそこまで他社が批判されていると嘘っぽ
い。自信があるのなら堂々とパフォーマンスと機能で売ればBIG-IPで行って
みようかなって検討するのに。
パフォーマンスもL7に限定しているし、L4、UDPどうよ?とか邪推してしま
うよ、あのセミナーじゃ。知らない人に刷りこむにはいいんだろうけど。
で、僕も、でもさあさん、正直L4TCP, L7, UDPのパフォーマンス僕も知り
たいです。どなたか1秒間のsession handlingの巨砲IPやCSS・Alteon・
ServerIronの負荷分散能力知っている方ヒミツでここだけの話教えてくれま
せんか?
56F5:02/02/21 00:07 ID:???
アルテオンの代理店はゼロックスとネットマークス。ゼロックスは世界で一番アルテオンを売ってる代理店
らしいです。そのあたりから、推して知るべしですね。
57F5:02/02/21 00:08 ID:???
すいません。板間違えました。
58?:02/02/21 01:21 ID:???
>>56
その割にはなんでもかんでもノーテルに丸投げするんだよなあ <FX
59F6:02/02/21 02:36 ID:???
>>58
かばうわけじゃないけど。Xの技術陣はこの分野はすごいよ。
何もしないでの丸投げはないでしょ。
意地張って抱えるより、メーカーマターはメーカーに投げるべき。

それより、ウチはF5ユーザーだけど、よくトラブル。
問題は、代理店のレスがないぞ!!
Xさん助けて!でもF5じゃだめ?
60            :02/02/21 18:15 ID:???
>>56->>59
ちょっと板違いかもしれないけど、興味あるので続報キボンヌ
61nobody:02/02/21 22:08 ID:509saCZ/
>59

たしかにXさん、質問投げてもレスポンス早いしな。
62nobody2:02/02/21 23:15 ID:???
>>61
わたしもそう思います。<X
何度も助けていただきました。
63金魚:02/02/22 01:25 ID:ytjUqTmX
どこでもRESの早くて的確なこと突く優秀なSEはいるよ。 数をどれだけ
抱えているかなんだろうけど。
嘘を語るところはそう言う意味で信頼できねェ。
でも真実のつもりで誠意的に真っ赤な嘘をつくヤツには弱いんだよなあ。
SSLってネットワーク屋の仕事でないトラブル多くない?
pass phrase忘れたとか、private keyって何ですか?とか。
iPla○指してこれから取り出してください、といわれたときにはマイッタ。
最近は取り出せるというウワサは聞いたけど、実際どうよ?
64ponta:02/02/22 03:30 ID:eRyxvIr6
>>金魚
F5 KKってホントにプレゼンだめな奴ばっかりよね。
持ってる情報古すぎるし、説得力0だった。
(確信犯だったかは、謎。)
F5のセミナーでは、日本語のプレゼンを聞いちゃいけない。
外人が来てしゃべるところだけ、聞けばいい。

彼ら、i-modeのL7スイッチングっつうネタで日本市場に根を
張り出してるから、そこから脱皮できてないんじゃないかな。
L4だったら、F5は高すぎるし、使わんほうがいいでしょ。だから、
L7って連呼してたんだと思う。

F5のSSLが800TPSがMAXで、750TPSがCPUの限界だったってのは本当。
昔はRainbowだけど、今はBroadcomのchipが載ってる。
それ以上は、SSL専用箱があるから、それを置けばいいってのが、
F5のやり方。それは今でもそうだね。

F5のL7はHTTP/1.1を全て読み取るところがミソなので、
他と簡単には比べられないかもしれないけど、20000transaction/sec
ぐらいは出てたよ。俺がテストしたときは。L4でもやってみたけど、
20000connection/sec以上出てた。それ以上は測定不能だった。

SSLはネットワーク屋の仕事じゃないっつーのに痛く同感。
ベリサインの証明書は、本当に負荷分散装置配下にあるサーバの
台数ごとに必要なんですか??
なんて俺に聞かないでもらいたい。
65anonymous:02/02/22 21:37 ID:kL/2PwFu
IronはL2なら最強なんだけどね。
L7はだめ。
66anonymous:02/02/23 02:21 ID:2wyPIKPd
intelの7180,7185も忘れないで・・・
600 ssl/sec、1200 ssl/secだよ。
うーん、マニアックだ。
67金魚:02/02/23 03:01 ID:x7vk6bTZ
>>64
broadcomとは知らなかった。ナルホド勉強になりました。
F5のsession handlingはHA+とかEnterpriseで17K〜21K/secだから
カタログスペック値は出ているということか。カタログは信じられるかな。
L7は判らんがL4での速さはAlteon, CSS, Ironか。
L7でのハンドリングスピードとSSLのオーバーヘッド、L7の自由度が今後の競争のポイントか。

SSL、台数ごととに必要ですか、オレも何十回と聞かれた質問。
頼むからVeri○ignのホームページ見てくれよ。CA局の問題なんだから。
多分苦しんでいるNEはいっぱいいるはず。
いろんな意味で、SSLを100TPSでもincludeしたF5には畏敬の念を表す。
68金魚:02/02/23 03:05 ID:x7vk6bTZ
>>66
intel NetStructure7180/85ね。
懐かしい思い出です。
DCで見たことない。
LBのsession handlingが数千だったもんな。SSLは拡張できないし。
7110/15の方が売れたんじゃないの?もうOEMもなくなるらしいけど。
69名無しさん@三年寝たろう:02/02/24 19:22 ID:RjSAo74Z
>>68
7110/7115 は冗長性考えたときに直列に数珠繋ぎする
奇妙な方法だから、
通常の機器のようにVRRPとか専用のケーブルを使った
2重化の設計をするときが面倒くさい。確かに冗長を
考えない場合は、簡単で良いんだけれどね。逆に簡単
すぎて金取れないよ。ちなみに、OEM が無くなるって、確かHPが販売
していたと思うけれど、販売止めちゃうの?
ちなみにノーテル社について衝撃的な記事が....
http://www.hotwired.co.jp/news/news/business/story/20020215101.html
第二のエンロンかも?
70HP@三年寝てろ!!:02/02/24 22:33 ID:???
>>69
HPも終わりだよ。
71金魚:02/02/26 01:30 ID:6QyCjIde
>>69
Active-Standbyでの負荷分散機と組み合わせるには上位に置くと待機系が遊ぶ
からね。かといって下に置くとSwitchではさむか、各サーバの前に置くしかない
けど、それだとL7での負荷分散できないし。

>>69
Nortelが倒れるっちゅうことはあるのかいな?カナダ政府がそうするのかね?
だれかがあおっているんじゃないの?まあアルゼンチン共和国債みたいなこと
があるのでまったく無いとは言えないけどね。エンロンどころじゃないよ。
ホントかいな?
72そういえば:02/02/26 14:22 ID:GngezeY6
Intelは旧7180の後継機を開発してるようだが。
主な特徴:i-modeパーシステンスに(ようやく)対応、
Management port搭載、見た目もちょっと変わる。コマンド体系はかなり変わる。

糞だったLB部分が少しまともになったと喜んでいたらhpが売らなくなるんだと。
開発機はどうなるのだろう。。。SSLに関してはF5より早かったのに。
73名無しさん:02/02/26 16:06 ID:dMIGtakh
>>72
結局 hp は直販で Cisco とか Alteon とか F5
をインテグレーションしているわけだから、
間接販売で NetStructure を販売しても意味ないわけだよね。
結局サポートもセンドバックだけで24時間オンサイトはないしね。
で、結局日本での一次代理店はどこになるのかな?
743年寝る:02/03/26 00:25 ID:Yu7xgvf/
マクニカ?日商?そんなとこだっただろ。ただNetStructureとしての話だが。
1000TPSの出るらしいけど詳細きぼーん
75FIPS:02/07/13 02:24 ID:???
FIPS対応しているSSL Acceleratorはどんなところあるの?
SSL−LB−SSLは巨大IPだけなの?
知っていたら教えてください
76??:02/07/14 01:14 ID:c33yAxVT
> 75
Nortel の Alteon iSD-SSL 310/FIPS というのが対応している。
でも、日本じゃまだ売っていないかも。
FIPS 140-1 Level 3 Certified ってやつですね。
でも、日本でそれ要求するところあるの?

あと、SSL-LB-SSL ってのが End to End Encryption って
ことなら、iSD-SSL も ver.3.0 で対応している。
77??:02/07/14 01:25 ID:c33yAxVT
> 74
Alteon からも iSD-SSL 410 っていうのが予定されている。
これ 1000TPS 出る。
78FIPS:02/07/14 21:46 ID:???
>>76
お客様に聞かれました。
多分FIPSを上がご要求なさるとか。本当に使うかは分かりませんが。
きっと高そうですね。
1000TPSは使いません・・・。
79名無しさん@XEmacs:02/07/15 18:26 ID:???
>>78
> 多分FIPSを上がご要求なさるとか。本当に使うかは分かりませんが。

たしかに iSD には 310/FIPS というラインアップがあるけど、NIST
の FIPS-validated-product list には載ってないんだよねー。

どうなってるのやら。

あと、FIPS は取ってないけど、ANDES Network の PSSL シリーズは
“FIPS grade safe store”を謳ってるね。Brochure 通りならたしか
に機能的には level-3 はクリアしてそうに見える。
80??:02/07/15 20:13 ID:???
> 79
種明かし。単に Nortel とか iSD という名前で載っていないだけ。
実は 310/FIPS には Rainbow Technologies Inc. という会社の
CryptoSwift HSM というのが載っている。
これが FIPS 140-1 Level 3 --Certificate #162
を取得している。それだけのこと。(当然マニュアルには明記されているよ。)
ちなみに 310/FIPS じゃないモデルには何が載っているかは
知りません。
81名無しさん@XEmacs:02/07/16 15:13 ID:???
>>80
> 種明かし。単に Nortel とか iSD という名前で載っていないだけ。

もちろん Alteon でも載ってなかったし。

> CryptoSwift HSM というのが載っている。
> これが FIPS 140-1 Level 3 --Certificate #162
> を取得している。それだけのこと。(当然マニュアルには明記されているよ。)

ガ━━(゚Д゚;)━━ン! んなのアリ?

よーし、お父さん、SSL アクセラレータに iButton 載っけて FIPS
PUB 140-1 Level 3 Certified と銘打って売っちゃうぞー。

はともかく、それなら筐体含めて tamper resistent な ANDES の方が
実質マシじゃないのか?
82??:02/07/16 22:54 ID:???
> 81
resistant ですよね?
それはさておき、Nortel も ANDES を... もごもご。
83a:02/07/17 05:04 ID:???
SSLアクセラレータといえば、普通箱型かPCIスロットに刺すタイプ
ですよね。Pentium4のSSE2やAthlonの3D!nowみたいに、最近は
マルチメディア演算用の命令積んだCPUも多いから、これをSSLの
高速化に使えないものかなぁ、なんて思うのですが。できる?
84b:02/08/15 20:32 ID:j8R2cIgn
作れば出来るんじゃない。
85あぼーん:あぼーん
あぼーん
86nobody:02/08/15 23:27 ID:FwJ+Xgvm
>83

マルチメディア系の演算命令がどんなものかわかってないとおもわれ
87メ?ツ?ツ?ツ?ツ?リT:02/08/18 16:15 ID:MiT9MZAV
>81
Andesはまだバグ多いらしいよ・・・

>82
その先は・・・(笑)Nortelも最近節操無いですね

SSLの負荷かけたいならCAWとか使えばって感じ。
SSLのカードって言っても結局NICとかBUSのトラフィックはCPU処理だから専用箱の方がいいんでないの?そんで鍵の管理は専用オペレーターがいるでしょ。LDAPとかHTTPとかFTPとかでCRL管理できるintelとiSDに一票。
88anonymous:02/08/18 23:03 ID:ncvhMabQ
>>83 >>86
UNIXのpasswdファイル解読して弱いパスワードを見つける
John the ripper っていうプログラムがあるけど、
こいつの中で DES の計算の高速化に MMX 命令使ってた。
(MMX には長いワードを一気に XOR する命令なんかが用意されている。)
ただし、SSLの計算で大きな時間を占める公開鍵暗号系
(RSAとかDSA)の高速化に応用できるかどうかはわからん。
89あぼーん:あぼーん
あぼーん
90てて:02/08/29 23:11 ID:HIyJpOCJ
>>89
アクセス権ネーってよ
91俺の仕:02/12/19 23:11 ID:T6SJ/17u
保存上げ
92俺の仕:02/12/20 21:49 ID:W9DfQwvf
保存上げ
93山崎渉:03/01/15 22:27 ID:???
(^^)
94山崎渉:03/04/17 12:34 ID:???
(^^)
95あぼーん:あぼーん
あぼーん
96あぼーん:あぼーん
あぼーん
97あぼーん:あぼーん
あぼーん
98age:03/09/03 02:31 ID:???
age
99anonymous@ p6ea3c6.tkyoac00.ap.so-net.ne.jp:2005/09/23(金) 10:06:30 ID:gq7TxXBE
SSLアクセラレータ+SLB+Webサーバー2台の環境で
通信の流れが想像できないっす。

公開するFQDNはSLBのIPアドレスがDNSに登録されていているようです。
だから、ブラウザからアクセスしに行くと、SLBに行ってアクセラレータを
経由しないでWebサーバーにいってしまうような気がするのです。
今は、業者さんが書いた申請書を元に想像してるだけなんで
申請書が間違っている可能性もあるんですが、こんな感じになってます。

SSLアクセラレータ 192.168.0.2  実サーバー 192.168.0.10と192.168.0.11
SLB          192.168.0.3  実サーバー 192.168.0.10と192.168.0.11
Webサーバー1   192.168.0.10
Webサーバー2   192.168.0.11

申請書をお見せ出来ないので、何を言っているか分からないかもしれないですが、
私の想像ではSSLアクセラレータはSLBのアドレスだけ設定すればいい、
むしろそうでないといけないのでは?って思うのですがどうなんでしょうか。
100hoge:2005/09/26(月) 09:28:35 ID:???
>>99

> 私の想像ではSSLアクセラレータはSLBのアドレスだけ設定すればいい、
> むしろそうでないといけないのでは?って思うのですがどうなんでしょうか。

何を言っているかやっぱり分からないけど…
何となくそんな感じかな。

Client --> 負荷分散機 --> SSLアクセラレータ --> 負荷分散機 --> 実サーバ
(Redirect処理) (負荷分散処理)

って感じが一般的だと思うけど。
細かいところはSIerさんに聞いてください、お金払ってるんですよね!?

10199:2005/09/27(火) 00:51:45 ID:???
>>100
レスありがとう。

SIerさんはSSLアクセラレータを入れるのにWebサーバに
証明書入れて443で受けようとしてた事もあり、まかせっきり
にするのもなと思い、勉強しているしだいです。

SLB --- SSLアクセラレータ --- SLB という図を見て
納得しました。DNSにはSLBのFQDNが登録されるようなので
SSLアクセラレータにどう繋がるかが想像出来なかったんですが
L4スイッチというのでしょうか、SLBがその機能も持っている
ためアクセラレータからSLBに戻れるのですね。

当初の想像は
ブラウザ --- SSLアクセラレータ --- SLB --- Webサーバ
と考えてしまったため、通信の流れが???でした。

勉強になったっす!
102hoge:2005/09/27(火) 02:30:44 ID:???
>>101

> SIerさんはSSLアクセラレータを入れるのにWebサーバに
> 証明書入れて443で受けようとしてた事もあり、

SIerを庇ってる訳じゃないけど補足させて。
一般的にはSSLアクセラレータが気が狂ってお亡くなりになった時のために、
実サーバにも証明書入れて443を待ち受けてたりするかも。
負荷分散機でもSSLアクセラレータがお亡くなりになった時の設定が入ってるかも。
10399:2005/09/27(火) 08:02:16 ID:???
>>102
なるほど、気が利いているというか
専門外の私には思いも付かなかったです。

でも、そんな話してくれなかったな。。。シャイな人でも
無いんだが。
ちょっと聞いてみよ。
104揚げ奉行:2006/12/14(木) 00:38:59 ID:???
105[email protected]:2007/02/27(火) 22:01:16 ID:ZX5upSE1
暗号化や復号はwebサーバーにやらせて、証明書はロードバランサに入れるなんて事は
できますか?証明書は高いので少しでも安くしたい。でもSSLロードバランサは高いし
すべての処理を任せるのは心もとないと考えてるんで。
106[email protected]:2007/02/28(水) 00:43:07 ID:???
>>105
ほとんどの証明書は、バックエンドのwebサーバの台数分必要ですよ。

Verign
http://www.verisign.co.jp/server/help/license.html


【認証局】SSLに関するスレ1枚目【ぼろ儲け】
http://pc10.2ch.net/test/read.cgi/mysv/1071339107/l50
107[email protected]:2007/02/28(水) 00:58:23 ID:cb2+emmN
ロードバランサ使えば一枚でオーケーだった所があったはず。
基本的に盗聴されていようがいまいがあんまり気にはしないんだが費用にうるさい
会社なもんで、安く出来る方法ないかななどと思った次第。
バックエンドに入れる証明書をすべてのサーバーにコピーして入れちゃえばいいような
気もするんだがそれでは規約違反だろうし、後で怒られそうというわけです。
ばれなきゃいいという噂もあるが。。。
108[email protected]:2007/02/28(水) 01:12:13 ID:cb2+emmN
一つの方法として考えているのは、BIG IP のHDにNFSでパーティションを作って
各ウェブサーバーからBIG IP内の証明書を取ってくるという形を考えてるんだが
それでうまくいくのかどうかは疑問かつ余計なトラフィックがロードバランサとウェブサーバー間で
発生するし、さすがに規約上無理がある気がしてる。
109[email protected]:2007/02/28(水) 01:52:53 ID:???
>>107
BLADEとかLivedoorSSLが1枚でOKだったけどもう売ってない、、、

ほかに1枚でOKな証明書があればぜひ教えてほしい。
110[email protected]:2007/03/08(木) 14:45:58 ID:I1NSe9OC
SSLの関係者はここ見てる?
SSL今落ちてない?
SSL使う認証のところGooもほかのとこもだめなんだけど?
メールチェックもできない
さっさとなおしやがれ
111[email protected]:2007/03/09(金) 23:09:33 ID:???
じゃーいまごろ SSL(株) も大変だね。
112名無しさん@負荷分散:2007/05/30(水) 20:45:34 ID:4s9jM0qA
1のレス見て他のレスはまったく読んでないので回答でてたら申し訳ないけど
SSL通信を分散且つセッション維持の要件があるのなら、
SSLアクセラレータ付き負荷分散機orSSLアクセラレータ(単体)+負荷分散機(単体)を
買いなされ。
そして任意のセッションIDCookieに入れるか携帯端末含むならURLに埋め込んで
複合化通信を負荷分散機に読み込める形にして通信すればおk
SSLアクセラレータ付き負荷分散機なら高いけど、SSL通信を分散機で暗号化を複合化するから
setCookieだろうがhttpヘッダーだろうが装置内で消化できる
113?:2007/05/31(木) 19:42:49 ID:???
>>111
具体的な製品をあげてみてよ
114anon:2007/08/07(火) 21:03:46 ID:???
>>112は6年前の>>1のレスに回答してるな
ここまで間の開いたレスは初めて見た
115[email protected]:2007/08/17(金) 00:50:46 ID:4WQvxILd
BIG-IPか旧Alteonだろうな。

単体のSSLアクセラレータってあんま使わないきが。
116aaa:2007/09/17(月) 00:54:16 ID:Z3gAw+wT
>>115
ArrayTMXってのはどう?
ご存知な方、利用実績のある方いる?
117名無しだよもん@カラアゲうまうま:2007/12/23(日) 15:12:41 ID:???
>>112の後者の構成でArrayTMX使ってるけど
ファームウェアの不具合が酷かった。

一度構成固めてあと触らないなら構わないかも。
118[email protected]:2008/03/25(火) 21:36:55 ID:???
たった2台のxSeriesの負荷分散用に
ServerIron4G売りつけるのはやめようよ。

lvs+heartbeatで仮想IP構成で十分だよ。
http://www.linuxvirtualserver.org/
119[email protected]:2008/07/22(火) 11:10:50 ID:???
FoundryはBrocadeに買収されることに同意しました。
120[email protected]:2008/07/31(木) 04:30:13 ID:HHCQrCDx
array、foundry、alteon、radware、f5などで一番高いヤツにSSL付のがありんす。

セッション維持はSSLアクセラレーター付ロードバランサでやるか、アクセラレーターをロードバランサ
の前に付ける方法が一般的なんでしょうか?

L4ロードバランサでセッション維持機能の無いもの(バカバランサ)を使い、
サーバー間でセッションを複製するという方法を取ったほうが安くできるのではないかと思うのです。
121[email protected]:2008/08/03(日) 10:30:22 ID:xSp5Csh/
>>417
ホンダのミニバン
ていゆかていじゅうしん
122[email protected]:2008/09/16(火) 00:56:32 ID:mK2/4lG1
>>120
他は知らんが
f5は普通にセッション維持できるけど
SSL複合しなくても・・・
123_:2008/09/17(水) 02:34:18 ID:???
>>120
LBをSSL対応品にするか、LBの前段にSSLアクセラレータをいれるかしないと、負荷分散装置を通るときに
SSL暗号化を解除できない。そうすっと、パーシステンス/スティッキーの方式として事実上、SSL session ID
とソースIPくらいしか選べなくなるんじゃね。
SSL session ID方式は「一部ブラウザがSSL session IDを頻繁に再ネゴシエートする」って問題があったので、
個人的には避けたい。
現行バージョンのメジャーブラウザは問題ないはずだけど、未来を含めて絶対の保証はされないだろうし。

システム仕様で完全固定IPのみを相手にするという絶対的な保証があるなら、ソースID対応でなんとかなる。
ていうかそのほうが楽だ。

んで、サーバシステム側で「いつ別の物理サーバに振り分けられても問題ないような」構造にするのも手だ‥
ただし、アプリが状態の遷移を完全に把握して設計されていて、実装も問題なく、性能上の影響も一切生じず、
セキュリティ的な懸念もあり得ない、というのなら、だが。

個人的経験で言えば、その手の方法は動作試験以降が大変だ。
まれにアプリ的な動作が妙になったりで、「LBが悪いんだろう!てか頼むからそういって下さい!」と詰め寄ら
れたりとか。んでどこに問題があるのか切り分けが面倒だとか。(苦笑

個人的経験では、その手の案は「目先の小銭を節約する代わりに、実装と運用を無駄に複雑にする選択」と
言わざるを得ない。


「必要なのはサービスの可用性であり、トラフィック総量は少ないから負荷分散は不要」という要件でなら、
負荷分散を行わず、トラフィックの振り分け先は常に1台。主系サーバが落ちたら、トラフィックを副系サーバ
に振り分ける、みたいな設計もありだな。これならL4パーシステンスしかできないLBでもあまり問題ない。
124anonymous:2008/09/19(金) 23:49:13 ID:???
ウチはこれで、SSLアクセラレータとL7負荷分散を入れてます。
ttp://fenics.fujitsu.com/products/ipcom/products/lineup/ipcom_ex_lb.html
125anonymous:2008/11/22(土) 18:54:43 ID:???
もうBIG-IPなんて見たくもさわりたくもない
126anonymous:2008/11/22(土) 18:59:42 ID:???
じゃあ何ならいいんだよ
127anonymous:2008/11/23(日) 12:44:42 ID:???
Д10
128hoge:2008/11/23(日) 19:18:00 ID:???
>>125

何があったんですか…
129anonymous:2008/11/24(月) 18:14:19 ID:???
>>125
NEらしくL2SWとRでいいや
>>128
何があったというわけでもないけど
結構すぐ壊れるし
それにもう飽きたし
BIG一筋2年間・・・秋田
130128:2008/11/30(日) 01:36:59 ID:???
>>129

結構、壊れるんですね…F5
お付き合いのある代理店さんがやたらと勧めてくるので、
評価機でも借りようかと思っていたんですが…
131129:2008/12/02(火) 00:08:03 ID:???
>>130
まあ壊れてもまるごと交換だから
そんなに面倒ではないかもだけど

値段も高いし・・・
ただ、やれることは他機器に比べて多いらしい
iruleとか使いこなしたら柔軟性も抜群だし

あ、何オレあんな機械のこと庇ってんだろ・・・
こ、これが・・・愛?
132anonymous:2008/12/02(火) 01:59:01 ID:???
>>131
ただのストックホルム症候群です。
133129:2008/12/03(水) 01:04:42 ID:???
>>132
被害者なのに犯人に同情しちゃう気持ち?

普段は好きじゃないんだけど、
ケナサレルとなんかムカムカする的な?

ま、F5も悪いやつじゃないんで
考慮してやってね
134ぽんたろう:2008/12/09(火) 16:28:17 ID:ppR78r3I
URL REWRITE(再書込み)のセッション制御って、
バランサのセッション維持で対応できるのでしょうかぁ?
135[email protected]:2009/04/17(金) 10:40:58 ID:fdh3PYbW
結論として、SSLロードバランスにはSSLロードバランサを購入する以外になさそうですね。
136A10:2009/06/05(金) 23:07:57 ID:???
>>129
俺も疲れた。。。
トクに電源壊れ過ぎ。
137anonymous@05001014093382_mc:2009/07/02(木) 22:13:32 ID:U6uIwWk4
UltraMonkey-L7+SSL Proxyって実サービスに投入してる人いる?
経験談をぜひ聞きたい。
138あのにます:2009/07/31(金) 11:55:41 ID:gf+SyfBp
>>137
あれはそのパッケージだけでなく、周辺の連動パッケージもそれなりに理解してないと動かせないね。
でも幾つか解説本片手に構築すれば、1週間で投入可能なレベルに持っていけるよ。
139[email protected]:2010/02/27(土) 15:58:06 ID:M1F3O0FC
>>136
ゴネたら電源タダで交換してくれたよ!
140[email protected]:2010/03/21(日) 19:04:29 ID:NffwCBa0
光回線よりも速い通信プログラムができた。木下、瀬谷貴史、リナックス君が使って、知っている
141[email protected]:2010/03/21(日) 19:06:11 ID:NffwCBa0
光回線よりも速い通信プログラムができた。木下、瀬谷貴史、リナックス君が使って、知っている。
142[email protected]:2010/03/21(日) 19:06:53 ID:???
光回線よりも速い通信プログラムができた。木下、瀬谷貴史、リナックス君が使って、知っている。
143[email protected]:2010/09/25(土) 14:35:38 ID:???
ロードバランサとかL4-7スイッチ、ADCのスレはどこかにありますか?
144anonymous:2010/09/25(土) 17:56:32 ID:???
とりあえずここでいいんじゃね?
145[email protected]:2010/09/26(日) 17:09:13 ID:???
>>144
やはりそうですか。ありがとうございました。
146 【46.5m】 電脳プリオン:2012/05/26(土) 15:25:47.98 ID:??? BE:152028735-PLT(12079)
TLSは?
147anonymous:2013/09/12(木) 11:13:35.41 ID:???
TLSは?
148anonymous:2014/02/05(水) 09:18:05.44 ID:???
はい?
149anonymous:2014/04/27(日) 11:09:10.27 ID:???
TLSは?
150anonymous:2014/05/13(火) 16:52:07.63 ID:???
ぬるぽ
151[email protected]
BIG-IPの勉強をしております
パーシステンスをSSLのsession IDにて行う場合の事について教えて下さい

SSLのセッションIDは暗号化されてしまっていると思うのですが
どのようにして判断しているのでしょうか?
そもそも暗号化されてしまっているという認識が間違っていますでしょうか?
vmを使いアパッチでHTTPS通信を行いwiresharkでキャプってみたのですが
複合しなければtcp通信としてしか確認出来ませんでした

ご存知の方がいらっしゃいましたらご教授ください