HSTS: Должен ли я заставить пользователя использовать HTTPS на балансе нагрузки или веб-сервере?

Question

Моя среда:

1.) 1 баланс нагрузки на сервер (Nginx)

2.) 2 веб-серверов (express.js работает на Node.js) сервер баз данных

3.) 1

Здравствуйте, я пытаюсь заставить моего пользователя использовать https. Я просматриваю множество руководств о том, как реализовать https в express.js.

Однако, поскольку я просматриваю много руководств, я нашел 2 способа перенаправления пользователя http на https.

1. перенаправлять пользователя на HTTPS Nginx конфигурации (на сервере баланса нагрузки)
2. перенаправляет пользователя на HTTPS express.js (на веб-сервере)

Мой вопрос:

• , который является лучшим способом реализации HSTS для моего веб-приложения (на балансе нагрузки или на веб-сервере)

• Кроме того, пожалуйста, любезно дают мало информации о преимуществах и недостатках каждого из вариантов

Большое спасибо :)

Answer 1

Вы можете уменьшить трафик путем применения HTTPS вверх по балансировки нагрузки, если вы обслуживают только контент, который необходимо зашифровать, лучше всего ограничивать трафик http на веб-серверы из внешних источников.

В противном случае HTTP-запрос пройдет через балансировщик нагрузки, будет направлен на веб-сервер 1, где он ответит перенаправлением 302, чтобы использовать https-url. Это заставляет пользователя сделать 2 запроса, чтобы попасть на ваш сайт.