Apache HTTPS обратный прокси с SNI без ключа на прокси

Question

example1.com и example2.com разрешить host0. host0 запускает обратный прокси Apache с двумя VirtualHosts. Он делегирует запросы для example1.com на host1 и example2.com на host2.

Использование http во всех местах, что явно может быть сделано для работы.

Используя https, я мог бы использовать ключи для example1.com и example2.com на host0, а затем общаться с хостом h0 или https на host1 и host2. Учитывая SNI, это тоже должно работать.

Мой вопрос: можно ли заставить работать без примеров1.com или example2.com ключей на host0? Хотелось бы избежать того, что host0 может выполнить атаку «человек в середине».

Если я правильно понимаю СНИ, ключевой материал обменивается только после того, как клиент передал желаемый виртуальный хост на host0. Это должно быть (?) Достаточная информация для Apache, чтобы существенно переслать соединение с host1 или host2, не глядя вообще на содержимое передачи. Это не требует ключевого материала вообще.

Answer 1

Вам действительно нужен обратный прокси-сервер Apache, или вам нужна проблема? У меня была та же проблема, и я разрешил ее с помощью HAProxy в режиме tcp, как описано здесь http://blog.haproxy.com/2012/04/13/enhanced-ssl-load-balancing-with-server-name-indication-sni-tls-extension/ вместо обратного прокси-сервера Apache.