TLSterminointi

TLS-terminointi tarkoittaa TLS/SSL-salauksen purkamista ja hallintaa verkkopalvelun reunapisteessä. Asiakkaan TLS-yhteys vastaanotetaan päätepisteessä, jossa suoritetaan TLS-kättely ja salaus puretaan. Tämän jälkeen liikenne siirtyy taustapalveluihin joko selväkielisenä HTTP:nä tai uudelleen salattuna TLS:na.

Toimintaperiaate: asiakkaan muodostama TLS-yhteys päätepisteeseen hoitaa kättelyn ja varmistaa sertifikaatin. TLS-yhteys on toteutettu, ja liikenne viedään backend-palveluihin. Toteutustavasta riippuen taustapalvelut voivat vastaanottaa liikenteen sekä plaintext-HTTP:na että TLS-salauksen uudelleen (re-encrypt) backendille.

Tyypillisiä käyttötapoja ovat kuorman tasaus, keskitetty TLS-konfiguraatio sekä mahdollisuus salata liikenne takaisin backendiin, tarjoten HTTP/2- tai gRPC-tuen ja liikenteen tarkkailun. TLS-terminointi mahdollistaa myös paremman suorituskyvyn ja keskitetyn turvallisuuspolitiikan soveltamisen.

Etuja ovat muun muassa prosessorin rasituksen siirtäminen päätepisteelle, keskitetty sertifikaattien hallinta, yksinkertaistettu käyttöpolitiikka sekä helpompi liikenteen tarkkailu ja reititys. Lisäksi se voi nopeuttaa käyttöönottoa ja tarjota paremman tuntuman liikenteen hallintaan.

Haittoja ja riskit liittyvät keskitetyyn pisteeseen, joka voi muodostua pullonkaulaksi tai kohteeksi hyökkäyksille. End-to-end-salauksen säilyttäminen voi olla hankalaa ilman re-encrypt-toteutusta, ja avainten sekä sertifikaattien hallinta sekä konfiguraatiohuolimattomuudet voivat vaikuttaa turvallisuuteen ja saatavuuteen.

Terminointi vs pass-through: TLS-terminointi purkaa liikenteen terminaatiopisteessä; TLS-pass-through välittää TLS-kättelyn loppuun asti backendille ja purkaa siellä; end-to-end-salaus säilyy koko reitillä.

Sertifikaatit: TLS-terminoinnissa käytetään X.509-sertifikaatteja, joita hallitaan usein automaattisesti ACME-työkaluilla tai organisaation omaa varastoa. Sertifikaatit voivat olla yksittäisiä, SAN- tai wildcard-sertifikaatteja.