Reverse Proxy Secure Configuration

Le risposte standard sono, usa anche connessioni sicure dal frontend ai server di back-end.

Nella seguente situazione potrebbe essere normale e comune utilizzare connessioni non crittografate:

1. L'infrastruttura di rete tra frontend e backend è considerata sicura. Ad esempio una rete hardware dedicata che garantisce l'assenza di sniffing o modifica del traffico non autorizzati. Lo switch deve essere configurato in modo da prevenire l'avvelenamento della cache ARP e il flooding della cache ARP perché i server potrebbero essere vittime di un attacco e diventare ostili.

2. E il traffico è così elevato che la decrittografia comporta un carico significativo sui server di back-end.

SSL ha un grande costo in termini di prestazioni, in particolare per HTTP. OTOH è il modo più pratico per proteggere contro MITM e intercettazioni - quando ci sono impatti sulla funzionalità / usabilità è solo 'best practice' aggiungere protezione dove c'è qualcosa che ha bisogno di protezione.

Se esiste il rischio di intercettazione / MITM tra il proxy e i server Web, allora ha senso proteggere la connessione, tuttavia questo è raro il caso (eccetto dove i proxy fanno parte di un CDN).

"e analizzarlo per gli attacchi": la chiusura del protocollo SSL sul proxy significa che ci si affida alle funzionalità disponibili dal proxy per qualsiasi analisi, a seconda di come questo potrebbe essere implementato, ad esempio non avere visibilità dei certificati client a il webserver. Si noti che per SSL-SSL, se il proxy è veramente un proxy HTTP, decodificherà il protocollo SSL e lo ricodificherà nuovamente, quindi non si avrà una visibilità maggiore del comportamento SSL client-proxy rispetto a quando non si utilizza SSL tra il proxy e webserver.

Il motivo principale per eseguire SSL tra TMG e gli utenti finali è lo stesso con cui eseguiresti qualsiasi VPN: desideri privacy e autenticazione quando parli con i tuoi clienti. Ad esempio, non si desidera alcun idiota con un CD di backtrack per poter scremare Sharepoint o OWA durante l'accesso. Peggio ancora, non tutte le app aziendali sono abbastanza intelligenti da utilizzare una solida gestione delle password o tecniche di gestione dei cookie e non si vuole che queste informazioni perdano.

Solo perché è un'app Web non significa che non ha bisogno di una VPN e HTTPS tra TMG e client controlla la casella.