3

HTTPS を使用してバックエンド サーバーと通信する ELB をセットアップしようとしています。単一のバックエンド サーバーを使用して概念実証をセットアップしようとしていますが、ELB をサーバーと通信させることができないようです。SSL を使用しないセットアップは完全に機能するため、これは証明書の問題であるとほぼ確信しています。

どうすればこれを設定できますか? 複数の回答やブログ投稿からさまざまな提案を試みましたが、うまくいきません。

私が今行っていることは、次のコマンドを使用して自己署名証明書を設定することです ( AWS ELB -> Backend Server over HTTPS with Self-Signed Certificate から):

$ openssl genrsa \
  -out /path/to/ssl.key 2048
$ openssl req \
  -sha256 \
  -new \
  -key /path/to/ssl.key \
  -out /path/to/ssl.csr
$ openssl x509 \
  -req \
  -days 365 \
  -in /path/to/ssl.csr \
  -signkey /path/to/ssl.key \
  -out /path/to/ssl.crt

署名時に複数のドメイン名を試しましたが、それらを使用してカールできます。

curl https://[Public DNS, or private DNS or IP used to create the SSL crt]/status --cacert /path/to/ssl.crt

ここで使用すべきドメイン/IP/DNS エントリはありますか? 少なくともcurlが機能することはかなり良いと思います。

現在、私のnginx構成（サイト対応ファイル内）は次のようになっています：

server {
    listen 443 ssl;
    listen [::]:443 ssl;

    ssl_certificate     /path/to/ssl.crt;
    ssl_certificate_key /path/to/ssl.key;

    server_name <dummy value of "_" or name used to make SSL certs>;
    client_max_body_size 20M;
    access_log  /var/log/nginx/access.log;
    error_log  /var/log/nginx/error.log;

    location / {
        proxy_pass         http://127.0.0.1:8000/;
        proxy_redirect     off;

        proxy_set_header   Host             $host;
        proxy_set_header   X-Real-IP        $remote_addr;
        proxy_set_header   X-Forwarded-For  $proxy_add_x_forwarded_for;
    }
}

これは、上記の curl コマンドで機能します。

クラシック ロード バランサとアプリケーション ロード バランサを試しました。クラシックでは、ssl.crt の内容を追加しようとしました。アプリケーション ロード バランサに同様のオプションはありませんが、HTTP->HTTPS を非常に簡単に転送できるため、可能であればそれらを使用したいと考えています。いずれにしても、クラシック ロード バランサーもアプリケーション ロード バランサーもサーバーと通信していません。

何が欠けているかについての提案はありますか？または、何が欠けているかを判断する方法は？

4

1 に答える 1

3

これは近かったです。いくつかの小さなステップが欠けているだけです。私はこれをALB ELBで動作させました。

まず、ここで説明されているようなスクリプトを使用しました: https://myopswork.com/how-to-do-end-to-end-encryption-of-data-in-transit-bw-aws-alb-and -ec2-3b7fd917cddd

#!/bin/bash

DIR=$(dirname $0)

domain=$(uname -n)
echo "Generating SSL for $domain"
commonname="$domain"
country="US"
state="California"
locality="LA"
organization="My Inc."
organizationalunit="Org"
email="my@email.com"

# Optional
password=dummypassword

echo "Generating key request for $domain"

mkdir -p /etc/ssl/private
chmod 700 /etc/ssl/private
mkdir -p /etc/ssl/certs

# Generate a key
openssl genrsa -des3 -passout pass:$password -out /etc/ssl/private/$domain.key 2048 -noout

# Remove passphrase from the key. Comment the line out to keep the passphrase
echo "Removing passphrase from key"
openssl rsa -in /etc/ssl/private/$domain.key -passin pass:$password -out /etc/ssl/private/$domain.key

# Create the request
echo "Creating CSR"
openssl req -new -key /etc/ssl/private/$domain.key -out /etc/ssl/private/$domain.csr -passin pass:$password \
    -subj "/C=$country/ST=$state/L=$locality/O=$organization/OU=$organizationalunit/CN=$commonname/emailAddress=$email"

# Create the cert
openssl x509 -req -days 365 -in /etc/ssl/private/$domain.csr -signkey /etc/ssl/private/$domain.key -out /etc/ssl/certs/$domain.crt

# Setup nginx config
sed "s/{{hostname}}/${domain}/" < $DIR/template.conf > /etc/nginx/sites-available/site.conf
ln -sf /etc/nginx/sites-available/site.conf /etc/nginx/sites-enabled/site.conf

テンプレートは次のようになります。

server {
    # listen 80 #uncomment to also listen on port 80 - useful for debugging
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name {{hostname}};

    ssl_certificate /etc/ssl/certs/{{hostname}}.crt;
    ssl_certificate_key /etc/ssl/private/{{hostname}}.key;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ciphers "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH";

    add_header Strict-Transport-Security "max-age=63072000; includeSubdomains";
    add_header X-Frame-Options sameorigin;
    add_header X-Content-Type-Options nosniff;

    location / {
        ...
    }
}

ドメインはip-172-10-11-12.

すべてをデバッグするために、次のようなものを実行しました-これはメモリからのものであるため、詳細がオフになっている可能性があります。まず、nginx を実行してサーバーをローカルで curl できるようにしました。

curl https://ip-172-10-11-12/healthcheck --cacert /etc/ssl/certs/ip-172-10-11-12.crt

次に、ELB アドレスを取得し、それに対してカールできることを確認しました。ELB マシンにアクセスできるマシンを使用する必要がありました。セキュリティ ルールにより、ELB は固定可能ではなく、カール可能であることに注意してください。この2つの方法をテストしたと思います。まず、私は試しました：

curl https://elb-address/healthcheck --insecure

次に、ip-172-10-11-12 を /etc/hosts ファイルに追加して試しました。

curl https://ip-172-10-11-12/healthcheck --cacert /cert/file/copied/onto/machine

それが機能するようになると、ALB ELB が機能し始めました。この最後の呼び出しが機能する前に、ファイアウォール ルール、AWS セキュリティ グループなどを確認する必要がありました。しかし、それが機能すると、ELB はサーバーを認識し始めました。

これをデバッグしているときに、最終的な洞察も 1 つ得られました。ELB がパブリック インターネットからアクセスされている場合、ELB にはパブリック サブネットのみが必要であり、パブリック サブネットはターゲット マシンと同じアベイラビリティ ゾーンにある必要があります。

于 2019-03-21T05:31:23.813 に答える