Как настроить TLS 1.2+ на примере Elastic Search Azure Service Fabric MultiNode

Общедоступный репозиторий azure-diagnostics-tools содержит фантастический вариант для всех. кто хочет быстро настроить масштабируемую и высокодоступную систему аналитики журналов ElasticSearch+Logstash+Kibana с помощью пример развертывания ES-MultiNode Service Fabric.

Единственный аспект, отсутствующий в этом шаблоне, — это конфигурация HTTPS, необходимая для фактической аутентификации подключений к системе Kibana и, возможно, для предоставления безопасных конечных точек для отправки событий в хранилище (хотя это может происходить и другими способами, например, чтением большого двоичного объекта через интервал — я в данный момент меня в первую очередь беспокоит обеспечение безопасности подключения пользователей к системе Kibana и обеспечение отсутствия других открытых путей, входящих в кластер из внешней сети).

Из моего предварительного чтения кажется, что я хочу настроить TLS в конфигурация прокси-сервера nginx для узла кластера ES, но я впервые использую эту комбинацию инструментов, и я не уверен, что еще мне нужно знать. Кто-нибудь сделал это? Я ожидаю, что это будет что-то вроде шагов здесь для получения сертификатов для виртуальных машин, но, вероятно, включает другие шаги для настройки этих конкретных служб.


person user483679    schedule 13.01.2017    source источник
comment
Вы должны настроить самую последнюю версию TLS (TLS 1.3?), а не SSL, которая является устаревшей версией. Люди, внедрившие стандарт SSL, внедрили TLS, и, начиная с TLS 1.2, больше не рекомендуют поддерживать обратную совместимость с SSL. Хотя это то, что предлагает высокотехнический стандарт, подавляющее большинство все еще использует его, а это означает, что любая практическая реализация браузеров должна по-прежнему поддерживать его. Делаем браузер технически нарушающим TLS. Ваше дальнейшее использование SSL увековечивает эту проблему. Не обращайте внимания, если вы просто имеете в виду последнюю версию TLS.   -  person marshal craft    schedule 13.01.2017
comment
Со стороны сервера вполне практично также запрещать SSL-соединения, поскольку распространенные веб-браузеры, такие как chrome, полностью поддерживают TLS версии 1.2 как минимум.   -  person marshal craft    schedule 13.01.2017
comment
Спасибо за ответ: SSL против TLS. Я использовал его неофициально для обозначения TLS, но я обновлю комментарий, потому что не хочу быть частью проблемы!   -  person user483679    schedule 13.01.2017
comment
Нет необходимости, это просто устаревшая терминология, на самом деле не проблема, я читал, что nginx по умолчанию использует TLS 1.1-1.2. Моя вина в том, что я не знаком с серверными реализациями, nginx тоже называет это ssl.   -  person marshal craft    schedule 13.01.2017
comment
если вам нужна встроенная поддержка ssl/tls для elasticsearch, возможно, это вариант: github.com/floragunncom/ search-guard-ssl   -  person Search Guard    schedule 17.01.2017