负载均衡和 HTTPS 策略

Question

我面临以下问题：服务器饱和，因为当前的负载平衡策略是基于客户端 IP 的。一些企业客户端从大型代理后面访问我们的服务器，因此所有客户端对我们的负载平衡器都具有相同的 IP。我认为我们正在使用一些硬件负载平衡设备（如有必要，可以进一步调查）。我们需要保持会话亲和性（站点是在 ASP 中构建的），因此所有具有相同 IP 的请求都会路由到同一个节点。

由于所有通信都通过 HTTPS，因此没有请求数据（如会话 ID）可用于平衡器作为客户端鉴别器。有没有办法使用除 IP 之外的其他一些数据来区分客户端并将客户端路由到不同的节点？

注意：我需要保持平衡器和节点之间的流量安全（加密）。

Answer 1

如果您当前有负载均衡器，最简单的方法是解密负载均衡器上的数据并查看 cookie。此时，您可以将请求发送到未加密的后端服务器，也可以重新加密并发送。

我所知道的大多数设置都认为负载平衡器和后端服务器之间的网络连接是安全的，并且不会出于多种原因费心重新加密流量。一个原因是基于硬件的负载平衡器也充当SSL 加速器，这是 HTTPS 流量在他们门口结束的另一个原因。另一个是它允许检查流量是否存在攻击。