9.5. SNI를 사용하여 TLS 종료 HTTPS 로드 밸런서 생성

프로세스

1. SNI 목록의 각 TLS 인증서에 대해 키(server.key), 인증서(server.crt) 및 중간 인증서 체인(ca-chain.crt)을 단일 PKCS12 파일(server.p12)으로 결합합니다.

   이 예제에서는 각 인증서(www.example.com 및 www2.example.com)에 대해 두 개의 PKCS12 파일(server.p12 및 server2.p12)을 생성합니다.

   참고

   controlPlane 내부의 값은 이 절차의 예제 명령에 사용되는 샘플 값입니다. 이러한 샘플 값을 사이트에 적합한 값으로 바꿉니다.

   예제

   $ openssl pkcs12 -export -inkey server.key -in server.crt \
   -certfile ca-chain.crt -passout pass: -out server.p12
   
   $ openssl pkcs12 -export -inkey server2.key -in server2.crt \
   -certfile ca-chain2.crt -passout pass: -out server2.p12

2. 자격 증명 파일을 가져옵니다.

   예제

   $ source ~/overcloudrc

3. 키 관리자 서비스를 사용하여 PKCS12 파일의 시크릿 리소스(tls_secret1 및 tls_secret2)를 생성합니다.

   예제

   $ openstack secret store --name='tls_secret1' \
   -t 'application/octet-stream' -e 'base64' \
   --payload="$(base64 < server.p12)"
   
   $ openstack secret store --name='tls_secret2' \
   -t 'application/octet-stream' -e 'base64' \
   --payload="$(base64 < server2.p12)"

4. 공용 서브넷(public_subnet)에 로드 밸런서(lb1)를 만듭니다.

   예제

   $ openstack loadbalancer create --name lb1 \
   --vip-subnet-id public_subnet --wait

5. TERMINATED_HTTPS 리스너(listener1)를 생성하고 SNI를 사용하여 보안 리소스를 모두 참조합니다.

   (참고로 tls_secret1 을 리스너의 기본 TLS 컨테이너로 참조합니다.)

   예제

   $ openstack loadbalancer listener create  --name listener1 \
   --protocol-port 443 --protocol TERMINATED_HTTPS \
   --default-tls-container=\
   $(openstack secret list | awk '/ tls_secret1 / {print $2}') \
   --sni-container-refs \
   $(openstack secret list | awk '/ tls_secret1 / {print $2}') \
   $(openstack secret list | awk '/ tls_secret2 / {print $2}') -- lb1 \
    --wait

6. 풀(pool1)을 만들고 리스너의 기본 풀로 설정합니다.

   예제

   이 예제의 명령은 TCP 포트 80에서 비보안 HTTP 애플리케이션을 호스팅하는 백엔드 서버가 포함된 프라이빗 서브넷을 사용하는 HTTP 풀을 생성합니다.

   $ openstack loadbalancer pool create --name pool1 \
   --lb-algorithm ROUND_ROBIN --listener listener1 --protocol HTTP --wait

7. 백엔드 서버에 연결하는 풀(pool1)에 상태 모니터(healthmon1)를 생성하고 경로(/)를 테스트합니다.

   상태 점검이 권장되지만 필수는 아닙니다. 상태 모니터가 정의되지 않은 경우 멤버 서버는 ONLINE 으로 간주됩니다.

   예제

   $ openstack loadbalancer healthmonitor create --name healthmon1 \
   --delay 15 --max-retries 4 --timeout 10 --type HTTP --url-path / \
   pool1 --wait

8. 프라이빗 서브넷(private_subnet)에서 비보안 HTTP 백엔드 서버( 192.0.2.10 및 192.0.2.11)를 풀에 추가합니다.

   예제

   이 예에서 백엔드 서버 192.0.2.10 및 192.0.2.11 은 각각 member1 및 member2 로 이름이 지정됩니다.

   $ openstack loadbalancer member create --name member1 --subnet-id \
   private_subnet --address 192.0.2.10 --protocol-port 443 pool1 --wait
   
   $ openstack loadbalancer member create --name member2 --subnet-id \
   private_subnet --address 192.0.2.11 --protocol-port 443 pool1 --wait

검증

1. 로드 밸런서(lb1) 설정을 보고 확인합니다.

   예제

   $ openstack loadbalancer show lb1

   샘플 출력

   +---------------------+--------------------------------------+
   | Field               | Value                                |
   +---------------------+--------------------------------------+
   | admin_state_up      | True                                 |
   | created_at          | 2022-01-15T11:11:09                  |
   | description         |                                      |
   | flavor              |                                      |
   | id                  | 788fe121-3dec-4e1b-8360-4020642238b0 |
   | listeners           | 09f28053-fde8-4c78-88b9-0f191d84120e |
   | name                | lb1                                  |
   | operating_status    | ONLINE                               |
   | pools               | 627842b3-eed8-4f5f-9f4a-01a738e64d6a |
   | project_id          | dda678ca5b1241e7ad7bf7eb211a2fd7     |
   | provider            | amphora                              |
   | provisioning_status | ACTIVE                               |
   | updated_at          | 2022-01-15T11:12:42                  |
   | vip_address         | 198.51.100.11                        |
   | vip_network_id      | 9bca13be-f18d-49a5-a83d-9d487827fd16 |
   | vip_port_id         | 69a85edd-5b1c-458f-96f2-b4552b15b8e6 |
   | vip_qos_policy_id   | None                                 |
   | vip_subnet_id       | 5bd7334b-49b3-4849-b3a2-b0b83852dba1 |
   +---------------------+--------------------------------------+

2. 상태 모니터가 존재하고 제대로 작동하는 경우 각 멤버의 상태를 확인할 수 있습니다.

   예제

   $ openstack loadbalancer member show pool1 member1

   샘플 출력

   작업 멤버(member1)에는 operating_status 에 대한 ONLINE 값이 있습니다.

   +---------------------+--------------------------------------+
   | Field               | Value                                |
   +---------------------+--------------------------------------+
   | address             | 192.0.2.10                           |
   | admin_state_up      | True                                 |
   | created_at          | 2022-01-15T11:11:09                  |
   | id                  | b85c807e-4d7c-4cbd-b725-5e8afddf80d2 |
   | name                | member1                              |
   | operating_status    | ONLINE                               |
   | project_id          | dda678ca5b1241e7ad7bf7eb211a2fd7     |
   | protocol_port       | 80                                   |
   | provisioning_status | ACTIVE                               |
   | subnet_id           | 5bd7334b-49b3-4849-b3a2-b0b83852dba1 |
   | updated_at          | 2022-01-15T11:12:42                  |
   | weight              | 1                                    |
   | monitor_port        | None                                 |
   | monitor_address     | None                                 |
   | backup              | False                                |
   +---------------------+--------------------------------------+