הצפנה ממאזן העומסים אל הקצוות העורפיים

הצפנה בכל Cloud de Confiance האזורים

כל תעבורת הנתונים מ-VM ל-VM בתוך רשת VPC ורשת VPC שמקושרת לרשתות שכנות, עוברת הצפנה.

הצפנה בין מאזני עומסים של שרת proxy לבין שרתים עורפיים

בחלק ממאזני העומסים של שרתי proxy (ראו טבלה 1), Google מצפינה באופן אוטומטי את התנועה לקצוות העורפיים שנמצאים ברשתות VPC של Cloud de Confiance . התהליך הזה נקרא הצפנה אוטומטית ברמת הרשת. הצפנה אוטומטית ברמת הרשת רלוונטית רק לתקשורת עם סוגי הקצוות העורפיים הבאים:

  • קבוצות של מכונות
  • קבוצות נקודות קצה אזוריות (GCE_VM_IP_PORT נקודות קצה)

בנוסף, Cloud de Confiance מספק אפשרויות לפרוטוקול מאובטח להצפנת התקשורת עם שירות הקצה העורפי.

מאזני העומסים האזוריים משתמשים בשרת ה-proxy של Envoy בקוד פתוח כלקוח של הקצוות העורפיים. מאזני העומסים תומכים בסט אלגוריתמים להצפנה שמפורטים ב-RFC 8446, סעיף 9.1 ל-TLS 1.3. ב-TLS בגרסה 1.2 ובגרסאות קודמות, מאזן העומסים תומך בסט אלגוריתמים להצפנה (cipher suite) שמשויכים לפרופיל מדיניות SSL COMPATIBLE.

בטבלה הבאה מופיע סיכום של מאזני העומסים מסוג proxy שמצפינים את התנועה לקצוות העורפיים.

טבלה 1. תקשורת בין מאזני עומסים לבין קצה עורפי
מאזן עומסים של שרת proxy Proxy (client to the backend) הצפנה אוטומטית ברמת הרשת אפשרויות פרוטוקול של שירות לקצה העורפי
מאזן עומסים חיצוני אזורי של אפליקציות (ALB) שרת proxy של Envoy ‫HTTP,‏ HTTPS ו-HTTP/2
בוחרים באפשרות HTTPS או HTTP/2 אם נדרשת הצפנה בדרכה לקצה העורפי שאפשר לבדוק.
מאזן עומסים פנימי אזורי של אפליקציות (ALB) שרת proxy של Envoy ‫HTTP,‏ HTTPS ו-HTTP/2
בוחרים באפשרות HTTPS או HTTP/2 אם נדרשת הצפנה בדרכה לקצה העורפי שאפשר לבדוק.
מאזן עומסי רשת אזורי חיצוני בשרת proxy שרת proxy של Envoy TCP
מאזן עומסי רשת אזורי פנימי בשרת proxy שרת proxy של Envoy TCP

תרחישי שימוש בפרוטוקול מאובטח לקצה העורפי

מומלץ להשתמש בפרוטוקול מאובטח כדי להתחבר למכונות עורפיות במקרים הבאים:

  • כשצריך חיבור מוצפן שניתן לבדיקה ממאזן העומסים (או מ-Cloud Service Mesh) למכונות בקצה העורפי.

  • כשמאזן העומסים מתחבר לשרת עורפי (backend instance) שנמצא מחוץ ל-Cloud de Confiance (עם קבוצת נקודות קצה באינטרנט). התקשורת עם קצה עורפי של NEG באינטרנט עשויה לעבור דרך האינטרנט הציבורי. כשהמאזן העומסים מתחבר ל-NEG באינטרנט, האישור הציבורי שחתום על ידי CA חייב לעמוד בדרישות האימות.

שיקולים לגבי פרוטוקול מאובטח של קצה עורפי

כשמשתמשים בפרוטוקול מאובטח של שירות לקצה העורפי, חשוב לזכור את הדברים הבאים:

  • השרתים העורפיים (backend instances) או נקודות הקצה של מאזן העומסים בקצה העורפי צריכות להכניס לשימוש בסביבת הייצור באמצעות אותו פרוטוקול כמו השירות לקצה העורפי. לדוגמה, אם הפרוטוקול של שירות לקצה העורפי הוא HTTPS, הבק-אנד צריך להיות שרתי HTTPS.

  • אם הפרוטוקול של שירות לקצה העורפי הוא HTTP2, ה-Backend צריך להשתמש ב-TLS. להוראות הגדרה, עיינו במסמכי התיעוד של התוכנה שפועלת בשרתים העורפיים (backend instances) או בנקודות הקצה שלכם.

  • כדי שהשרתים העורפיים (backend instance) או נקודות הקצה שלכם יתפקדו כשרתי HTTPS או SSL, עליכם להתקין בהם מפתחות פרטיים ואישורים. האישורים האלה לא צריכים להיות זהים לאישורי ה-SSL של חזית מאזן העומסים. הוראות ההתקנה מופיעות במסמכי התיעוד של התוכנה שפועלת במופעים או בנקודות הקצה של ה-Backend.

  • למעט מאזני עומסים מסוג HTTPS עם קבוצות קצה (endpoint) באינטרנט לקצוות עורפיים, מאזני עומסים לא משתמשים בתוסף Server Name Indication‏ (SNI) לחיבורים לקצה העורפי.

  • כשמאזן עומסים מתחבר לשרתי בק-אנד שנמצאים ב- Cloud de Confiance, מאזן העומסים מקבל כל אישור ששרתי הבק-אנד מציגים. במקרה כזה, מאזן העומסים מבצע רק אימות מינימלי של האישור.

    לדוגמה, אישורים נחשבים תקפים גם בנסיבות הבאות:

    • האישור חתום בחתימה עצמית.
    • האישור נחתם על ידי רשות אישורים (CA) לא מוכרת.
    • פג התוקף של האישור או שהוא עדיין לא תקף.
    • המאפיינים CN ו-subjectAlternativeName לא תואמים לכותרת Host או לרשומת DNS PTR.

    באישורי RSA, החל מ-28 באפריל 2025, מאזן העומסים יקבל רק אישורי RSA שכוללים את התוסף X509v3 Key Usage ואת הפרמטרים חתימה דיגיטלית ו-Key Encipherment. מידע נוסף זמין בהערת הגרסה שפורסמה ב-24 בינואר 2025.

פרוטוקולים מאובטחים של ממשק קצה (frontend)

כשמשתמשים בשרת proxy מסוג HTTPS או SSL כיעד כחלק מההגדרה,Cloud de Confiance משתמש בפרוטוקול מאובטח של ממשק קצה.

מאזני עומסים חיצוניים של אפליקציות (ALB) ומאזני עומסי רשת חיצוניים לשרת proxy משתמשים בספריית BoringCrypto של Google. לפרטים על FIPS 140-3, קראו את אישור מס' 5244 של תוכנית האימות של מודול קריפטוגרפי של NIST.

מאזני עומסים פנימיים של אפליקציות (ALB) משתמשים בספריית BoringSSL של Google. פרטים על גרסאות שמתאימות לתקן FIPS מופיעים במסמכי התיעוד של Envoy. ‫Google יוצרת שרתי proxy של Envoy למאזני עומסים של אפליקציות פנימיים במצב תואם ל-FIPS.