Der Load Balancer kann mit der Außenwelt verbunden werden, um den Zugriff auf das Jtel-System vom Internet aus zu ermöglichen.

Die LB direkt mit der Außenwelt verbinden

• VERBINDEN SIE DIE INTERNE NETZWERKSCHNITTSTELLE NICHT DIREKT MIT DEM INTERNET. 
  In der Firewall auf dem Load Balancer sind für den Betrieb der Lösung mehr Ports offen als nur die http- und https-Ports.
  Der Load Balancer sollte eine zweite Netzwerkschnittstelle mit der öffentlichen IP-Adresse erhalten.
  
  
• Öffnen Sie nur Port 80 und Port 8080 an der zweiten Netzwerkschnittstelle.
  
  
• Erwägen Sie die Installation eines zusätzlichen Schutzes wie fail2ban, um sich gegen einige Angriffe zu schützen.
  
  
• Ziehen Sie in Betracht, nur https zu verwenden.

Verbindung der LB mit der Außenwelt über eine Firewall

Die folgenden Ports sollten an den jtel Load Balancer weitergeleitet werden:

• Port 80
• Port 443

Es wird dringend empfohlen, ein Zertifikat für Ihre Domain auf dem Load Balancer zu installieren.

Siehe auch: Rolle LB - Selbst signiertes Zertifikat und Rolle LB - Zertifikate für Load-Balancer.

Hinweis: Sie können nur https verwenden (d.h. nur Port 443 in der Firewall öffnen), wenn Sie keinen http-Zugang benötigen. Siehe unten für Einzelheiten über die dazu erforderliche zusätzliche Konfiguration im Load Balancer.

Verbindung der LB mit der Außenwelt über einen Reverse-Proxy

Der vorangehende Reverse-Proxy sollte folgende Aufgaben erfüllen:

• SSL Offloading
  Dekodieren Sie https unter Verwendung eines installierten Zertifikats und leiten Sie dekodierte http-Anforderungen an den Jtel-Loadbalancer auf Port 80 weiter.
  
  
• Fügen Sie die folgenden Überschriften in die http-Anforderung ein:
  X-Forwarded-For 
  X-Forwarded-Proto

Hinweis: Diese Konfiguration muss von den Administratoren des Reverse-Proxys durchgeführt werden und hängt genau vom verwendeten Reverse-Proxy ab.

Hinzufügen der LB-Konfiguration, wenn nur Port 443 geöffnet ist (über Firewall oder über vorherigen Reverse Proxy)

Wenn der Außenwelt nur der Port 443 zur Verfügung steht, muss Folgendes berücksichtigt werden:

• Alle Anfragen an die Jtel-Webserver müssen das https-Protokoll in der URI enthalten.

Wegen der Umleitungen, die in der Webanwendung vorgenommen werden, ist es notwendig, dem Webserver mitzuteilen, dass die umgeleitete URL auf https und nicht auf http verweisen soll.

Dies wird durch die Verwendung des X-Forwarded-Proto-Headers in den meisten Webservern erreicht. Wildfly kann dies tun. JBOSS macht dies jedoch nicht korrekt, so dass Haproxy für diese Aufgabe konfiguriert werden muss.

JBOSS

Wenn Sie JBOSS-Webserver ausführen, fügen Sie in der haproxy.cfg im Abschnitt Backend-Konfiguration für jtel_portal und jtel_soap Folgendes hinzu

http-response   replace-header Location http:(.*) https:\1

Dies liegt daran, dass JBOSS den X-Forwarded-Proto-Header bei Umleitungen nicht korrekt verarbeitet.

Wildfly

Wenn Sie Wildfly auf den Webservern ausführen, stellen Sie bei der Konfiguration sicher, dass die folgende Datei in der Datei standalone.xml auf dem http-Hörer vorhanden ist:

Zum Beispiel:

Der Servlet-Container wildfly behandelt die Protokollunterschiede selbständig korrekt, indem er den X-Forwarded-Proto-Header interpretiert.