Có cần cài đặt chứng chỉ ssl với IP của tomcat không

Tôi đã cài đặt chứng chỉ ssl trên bộ cân bằng tải AWS (app1.company.com) và một phiên bản với Tomcat nằm sau LB.

nếu tôi mở https://app1.company.com:8443/ Tôi có thể thấy kết nối là khóa an toàn/hợp lệ trên thanh url. Nếu mở bằng IP riêng của Tomcat thì thấy dấu hiệu kết nối không an toàn.

Tôi biết rằng các chứng chỉ thường chỉ liên kết với miền (hoặc chỉ được cho là như vậy). Và không ai sẽ sử dụng IP để truy cập ứng dụng ngoại trừ có thể là nhóm duy trì ứng dụng. Bây giờ tôi cần gia hạn chứng chỉ, tôi tự hỏi liệu tôi có nên cài đặt nó trên kho khóa tomcat được chỉ định trong $TOMCAT_HOME/conf/server.xml

        <Connector
           protocol="org.apache.coyote.http11.Http11NioProtocol"
           port="8443" maxThreads="200"
           scheme="https" secure="true" SSLEnabled="true"
           keystoreFile="/home/ec2-user/tomcat.keystore" keystorePass="password"
           clientAuth="false" sslProtocol="TLS"/>

Hiện tại, tệp này không có chứng chỉ đã nhập cho app1.company.com (vì chứng chỉ đó được cài đặt trên bộ cân bằng tải) Nếu chỉ cần thay thế chứng chỉ mới trong bộ cân bằng tải AWS và để nguyên kho khóa Tomcat thì có đủ không?

Tôi khuyên bạn nên chặn quyền truy cập trực tiếp vào máy chủ vì đó là cửa sau vào máy chủ và một cuộc tấn công DDOS. Tôi sẽ làm điều này bằng cách đặt cá thể Tomcat vào một mạng con riêng. Nếu bạn phải có nó trong một mạng con công khai, tôi đảm bảo rằng chỉ một số thứ có thể tiếp cận nó - ALB (sử dụng phạm vi VPC CIDR là dễ nhất) và các IP được chỉ định. Nếu là riêng tư, bạn có thể sử dụng AWS Session Manager để truy cập máy chủ từ bảng điều khiển AWS.

ALB của bạn có thể sử dụng ACM (Trình quản lý chứng chỉ AWS) phát hành và gia hạn chứng chỉ miễn phí. Lý do duy nhất tôi có thể nghĩ để sử dụng một công ty đăng ký khác là nếu bạn cần chứng chỉ xác thực mở rộng hoặc một số tính năng khác. Chứng chỉ ACM chỉ có thể được sử dụng trên bộ cân bằng tải và trong CloudFront, không phải trên máy chủ của riêng bạn.

Bạn có thể đặt chứng chỉ vào phiên bản, nhưng tôi không chắc nó đáng bận tâm.