负载均衡分发流量时，SSL证书部署位置与证书数量，会显著影响架构复杂度和长期运维成本。部署方案随负载均衡工作模式、业务域名规划变化。
不同部署位置，对应两种加密处理模式。
第一种，在负载均衡侧完成TLS卸载。客户端到负载均衡走HTTPS，由负载均衡完成TLS握手和解密，再将明文HTTP请求转发后端。证书仅配置在负载均衡的HTTPS监听，后端服务器不持有证书。后端机器不用承担TLS加解密开销，证书续期、替换也统一在入口设备操作。
第二种为全链路HTTPS，或是TLS透传。负载均衡到后端之间同样维持加密。全链路HTTPS场景下，面向客户端使用一套证书，后端再单独使用证书和负载均衡建立第二段TLS连接，两段加密相互独立。TLS透传则不解密流量，加密数据包直接转发后端，TLS握手与证书管理全部交给后端服务器处理。
如果业务仅要求客户端至入口链路加密，TLS卸载是主流方案，证书部署在负载均衡层。金融、政务这类对传输安全要求更高的业务，常会启用全链路HTTPS，负载均衡和后端各自配备证书。选择透传，证书维护压力就全部落在后端集群。
证书数量，由域名规划决定，和后端服务器总数无关。无论后端是十台还是数十台，证书需求不会跟着变动，要看业务独立域名有多少，以及证书能否覆盖这些域名。
单域名证书只能保护指定域名，把www.example.com的证书放到api.example.com，访问时浏览器直接抛出证书错误。互不重叠的独立域名，各自需要单独的单域名证书。
通配符证书可以覆盖同一主域下全部一级子域名，一张`*.example.com`能够承载www.example.com、api.example.com、shop.example.com。适合子域名较多、经常新增下线的业务。它存在局限，无法覆盖多级子域名，像api.v2.example.com就不在保护范围内，跨主域时也不能复用。
SAN证书把多个域名写入同一份证书，域名可以归属不同主域，适合域名清单固定、总量不多的场景。证书服务商一般会设置域名数量上限，大多在一百个左右。域名条目越多，后续变更、续期时需要核对的内容也越多。
实际选型时，如果同一个主域下子域名持续增加，数量超过几个，优先选用通配符证书。多个域名分属不同主域且长期不变，就用SAN证书合并。只有一个对外域名，单域名证书就足够。不少负载均衡设备对大容量SAN证书适配一般，即便域名不多，部分运维也会选择拆分证书。另外超长SAN证书在一些老旧客户端上，会出现握手异常。
证书规划完成后，续期和证书链是两个高频故障点。
证书统一放在负载均衡，操作入口变少，但也形成集中风险。更换证书前，要提前完成替换，确认所有绑定该证书的监听、扩展域名都同步更新。配置多个附加域名时，逐项核对，一旦遗漏，部分域名会回落至默认证书，触发安全告警。
证书链完整性同样不能忽略。浏览器校验证书，需要完整链路，包含站点证书以及中间CA证书。只上传站点证书、缺少中间证书，部分终端无法构建信任链，访问报错。在负载均衡上传证书，建议直接使用打包完整证书链的文件，不要只上传域名证书。
落地的时候先确认是否需要TLS卸载，以此确定证书放在入口还是后端。再结合域名结构、证书覆盖范围，同时兼顾所用负载均衡产品对证书、扩展域名的限制，敲定证书方案。
| 国科云与国内外多家权威CA机构建立深度合作，提供CFCA、Symantec、GeoTrust、GlobalSign、RapidSSL以及自有品牌Sanfront等全系列SSL证书，全面满足不同行业客户在数据安全防护与HTTPS协议改造中的多样化需求。【点击咨询体验】
推荐阅读：
