node.js - HSTS: 負荷分散または Web サーバーで HTTPS を使用するようユーザーに強制する必要がありますか?

Question

私の環境：

1.) 1 つの負荷分散サーバー (nginx)

2.) 2 つの Web サーバー (node.js 上で実行される Express.js)

3.) 1 つのデータベース サーバー

こんにちは、ユーザーに https の使用を強制しようとしています。Express.js で https を実装する方法については、多くのチュートリアルを参照してください。

ただし、多くのチュートリアルを調べたところ、ユーザーの http を https にリダイレクトする方法が 2 つあります。

1. ユーザーを nginx config の https にリダイレクトする (負荷分散サーバー上)
2. ユーザーをexpress.jsのhttpsにリダイレクトする（Webサーバー上）

私の質問は：

• これは、Web アプリ (負荷分散または Web サーバー) に HSTS を実装するためのより良い方法です。

• また、各オプションの長所と短所について少し情報を提供してください

どうもありがとうございました ：）

Answer 1

ロード バランサーで https アップストリームを適用することでトラフィックを減らすことができます。暗号化が必要なコンテンツのみを提供している場合は、外部ソースから Web サーバーへの http トラフィックを制限するのが最善の方法かもしれません。

それ以外の場合、http 要求はロード バランサーを通過し、Web サーバー 1 に転送され、そこで https URL を使用するために 302 リダイレクトで応答します。これにより、ユーザーは Web サイトにアクセスするために 2 つのリクエストを行う必要があります。