Установка SSL на EC2 и балансировщик нагрузки

Question

У меня есть экземпляр ec2 за Приложением ELB в AWS.Я хочу применить SSL как к экземпляру ec2, так и к loadbalancer.Для ec2, например, я купил ssl и установил его, и он работает нормально.Для балансировки нагрузки я буду использовать бесплатный сертификат AWS ACM и устанавливать его на балансировщик нагрузки.Будет ли это иметь какие-либо проблемы?т.е. установка SSL в обоих местах ec2 и elb.

Answer 1

У него не будет никаких проблем, но он идет с оговоркой. Трафик на Application Load Balancer (ALB) будет зашифрован, а сертификат ACM будет проверен клиентом. Трафик к хосту от ALB также будет зашифрован, но сертификат на хосте не будет проверен.

Похоже, что ALB Backend Authentication включена в план действий AWS согласно приведенной ниже ссылке. Причина, по которой он не является приоритетным, резюмируется в этой цитате инженера AWS, который написал первую ссылку:

Роль, которую сертификаты сервера играют в TLS, заключается в проверке подлинности сервера, чтобы его нельзя было олицетворять или MITM. ALB работают исключительно в нашей сети Amazon VPC, Программно-определяемой сети, в которой мы инкапсулируем и аутентифицируем трафик на уровне пакетов.

Преимущество этого заключается в том, что вы можете использовать самозаверяющие сертификаты на своих хостах, чтобы сэкономить деньги при использовании ALB или ELB перед ними.

Если вам нужно убедиться, что сертификат на хосте действителен, вы можете использовать Classic Elastic Load Balancer (ELB). См. Ссылку для более подробной информации.

Ссылки

Подтверждение AWS ALB TLS Ответ

AWS ELB Настройка бэкэнд-аутентификации

Answer 2

Если вы используете SSL / TSL в ELB, он будет обрабатывать шифрование / дешифрование HTTPS-соединений (освобождая ЦП вашего экземпляра EC2 для выполнения другой работы).

Если вы используете подключение HTTPS / SSL для своего внутреннего сервера, вы можете включить аутентификацию на внутреннем экземпляре.Эту аутентификацию можно использовать, чтобы гарантировать, что внутренние экземпляры принимают только зашифрованное соединение, и чтобы гарантировать, что внутренний экземпляр имеет правильные сертификаты.

Использование SSL / TLS на ELB и Backend может создать проблемы, так как прослушиватель ELB HTTPS не поддерживает клиентские SSL-сертификаты.Я считал, что вы используете двусторонний SSL (взаимная или клиентская аутентификация)