Gibt es einen Standard-HTTP-Header, den ein SSL-Abschlusspunkt setzen sollte?
Ich frage, weil wir derzeit einen Loadbalancer haben, der den Abschluss für https darstellt. Dahinter verbirgt sich ein Anwendungsserver, und im Moment haben wir keine Ahnung, ob die Anfrage über http oder https kam.
Sollte der Loadbalancer ein Cookie oder vielleicht einen speziellen HTTP-Header setzen?
Antwort1
Ich gehe davon aus, dass Ihr Load Balancer die HTTP-Header nach der Entschlüsselung des SSL manipulieren kann. Eine Lösung wäre daher, der an den Server weitergeleiteten HTTP-Anforderung einen benutzerdefinierten lokalen Header hinzuzufügen, z. B. X-SSL-ENABLE: 1.
Auf der Clientseite wird ein Cookie gespeichert, bei jeder Anfrage erneut gesendet und belastet somit unnötig Ihre externe Bandbreite, da es nur für den internen Gebrauch bestimmt ist.
Antwort2
SSL umhüllt HTTP, es handelt sich um ein ähnliches Problem wie bei https Vhost ... nichts im http ist sich des verschlüsselten Tunnels bewusst, in den es eingehüllt ist.
Trotzdem kann der Webserver einige Umgebungsvariablen oder ähnliche Mechanismen festlegen, um serverseitigen Anwendungen wie PHP-Skripten mitzuteilen, ob der Kanal verschlüsselt ist oder nicht. Dies ist jedoch kein Protokollproblem.