Todos los productos
Search

Este producto

    Server Load Balancer:Add an HTTPS listener

    Centro de documentos

    Server Load Balancer:Add an HTTPS listener

    Última actualización: Sep 21, 2026

    Los listeners HTTPS terminan SSL/TLS en la instancia de CLB, descifran las solicitudes entrantes y las reenvían como HTTP a los servidores de backend. Esto descarga el procesamiento de cifrado de los servidores de backend y centraliza la gestión de certificados.

    Requisitos previos

    Asegúrese de contar con lo siguiente:

    • Una CLB instance

    • Un certificado de servidor en formato PEM. Puede cargar un certificado existente o crear uno durante el Step 2 del asistente. Create a certificate.

    • (Opcional) Servidores de backend desplegados y accesibles mediante HTTP (generalmente en el puerto 80) para el reenvío de tráfico.

    • (Opcional) Una network ACL para el control de acceso.

    Límites

    • Los listeners HTTPS usan HTTP como protocolo de backend. Establezca los puertos de los servidores de backend en HTTP (generalmente 80), no en HTTPS (443).

    • Los listeners HTTPS no admiten la redirección de HTTP a HTTPS.

    • Los listeners HTTPS no son compatibles con grupos de servidores primarios y secundarios.

    • Las instancias de CLB en la región Mexico no admiten listeners HTTPS. Use Application Load Balancer (ALB) o cree instancias de CLB en otra región.

    • El tiempo de espera del ticket de sesión TLS es de 300 segundos.

    • La transferencia real de datos supera el monto facturado debido a la sobrecarga del handshake TLS. Esta diferencia aumenta cuando hay más conexiones nuevas.

    Procedimiento

    Paso 1: Configurar el protocolo y los parámetros del listener

    1. Inicie sesión en la consola de CLB.

    2. En la barra de navegación superior, seleccione la región donde se despliega la instancia de CLB.

    3. En la página Instances, busque la instancia de CLB deseada y abra la configuración del listener con uno de los siguientes métodos:

      • Haga clic en Configure Listener en la columna Actions.

      • Haga clic en el ID de la instancia y luego haga clic en Add Listener en la pestaña Listener.

    4. En el paso Protocol & Listener, configure los siguientes parámetros y haga clic en Next.

    Configuración básica

    Parameter

    Description

    Select Listener Protocol

    Seleccione HTTPS.

    Backend Protocol

    Fijo en HTTP. No se puede modificar.

    Listener Port

    Puerto para recibir y reenviar solicitudes. Valores válidos: de 1 a 65535. Se recomienda el puerto 443.

    Tags

    Seleccione o introduzca una Tag Key y un Tag Value.

    Configuración avanzada

    Haga clic en Modify junto a Advanced Settings para expandir las opciones adicionales.

    Parámetro

    Descripción

    Scheduling Algorithm

    Algoritmo que distribuye las solicitudes entre los servidores de backend. Valor predeterminado: Round Robin. Opciones disponibles: Weighted Round-robin: los servidores de backend con mayor peso reciben más solicitudes. Round Robin: las solicitudes se distribuyen de forma secuencial. Para más detalles, consulte SLB scheduling algorithms.

    Session Persistence

    Deshabilitada de forma predeterminada. Cuando se habilita, todas las solicitudes del mismo cliente se reenvían al mismo servidor de backend. Seleccione una Cookie Option: Insert Cookie: CLB inserta una cookie (SERVERID) en la primera respuesta. Especifique un Session Persistence Timeout Period. Rewrite Cookie: CLB usa una cookie definida por usted. Especifique un Cookie Name. Configure el periodo de tiempo de espera y la vigencia en el servidor de backend.

    Enable HTTP/2

    Habilitado de forma predeterminada. HTTP/2 multiplexa las solicitudes sobre una única conexión TCP, lo que reduce la latencia.

    Idle Connection Timeout Period

    Tiempo máximo de inactividad para la conexión entre CLB y el cliente. Valores válidos: de 1 a 60 segundos. Valor predeterminado: 15 segundos. CLB cierra las conexiones inactivas después de este periodo.

    Nota

    Este tiempo de espera aplica a todos los grupos de servidores asociados con el listener. Para establecer un tiempo de espera distinto en un servidor de backend específico, cree un listener independiente.

    Connection Request Timeout

    Tiempo máximo de espera para obtener una respuesta del backend. CLB devuelve HTTP 504 si no recibe respuesta. Valores válidos: de 1 a 180 segundos. Valor predeterminado: 60 segundos. Para tiempos de espera más largos (hasta 3,600 segundos), use ALB.

    GZIP Compression

    Habilitada de forma predeterminada. Comprime las respuestas de estos tipos de contenido: text/xml, text/plain, text/css, application/javascript, application/x-javascript, application/rss+xml, application/atom+xml, application/xml.

    Automatically Enable Listener

    Habilitado de forma predeterminada. El listener comienza a procesar el tráfico de inmediato.

    Configuración de control de acceso

    Parámetro

    Descripción

    Access Control

    Deshabilitado de forma predeterminada. Cuando se habilita, seleccione un método de control de acceso y una ACL: Whitelist: Allows Specified IP Addresses to Access the SLB Instance: solo se reenvían las solicitudes provenientes de direcciones IP o bloques CIDR incluidos en la ACL. Una lista blanca vacía reenvía todas las solicitudes. Precaución: entradas incorrectas en la lista blanca pueden bloquear tráfico legítimo. Blacklist: Forbids Specified IP Addresses to Access the SLB Instance: se rechazan las solicitudes provenientes de direcciones IP o bloques CIDR incluidos en la ACL. Una lista negra vacía reenvía todas las solicitudes.

    Nota

    Las instancias IPv6 solo admiten ACL de IPv6; las instancias IPv4 solo admiten ACL de IPv4. Create a network ACL.

    Bandwidth Throttling for Listeners

    Deshabilitado de forma predeterminada. En las instancias de CLB con facturación por ancho de banda, establezca un ancho de banda máximo por listener. El ancho de banda total asignado no puede superar el ancho de banda de la instancia.

    Importante

    Asignar todo el ancho de banda a un solo listener deja inaccesibles a los demás listeners. Lo mismo aplica para las instancias de CLB internas. Las instancias con facturación por transferencia de datos no tienen límite de ancho de banda de forma predeterminada. Enable bandwidth sharing among listeners of a CLB instance.

    Encabezados HTTP personalizados

    Parámetro

    Descripción

    Custom HTTP Header

    Seleccione los encabezados que desea agregar a las solicitudes reenviadas: X-Forwarded-For: Retrieve Client IP: obtiene las direcciones IP de los clientes. Habilitado de forma predeterminada en los listeners de capa 7 y no se puede deshabilitar. La primera dirección IP de la lista corresponde al cliente. Preserve client IP addresses for Layer 7 listeners. SLB-ID: Retrieve SLB ID: obtiene el ID de la instancia de CLB. SLB-IP: Retrieve SLB IP: obtiene la dirección IP de la instancia de CLB. X-Forwarded-Proto: Retrieve Listener Protocol: obtiene el protocolo del listener.

    Agregue el encabezado X-Forwarded-Port para obtener el puerto de escucha de la instancia de CLB.

    Agregue el encabezado X-Forwarded-Client-srcport para obtener el puerto del cliente.

    Obtain Client Source IP Address

    Habilitado de forma predeterminada. Conserva las direcciones IP de los clientes en las solicitudes reenviadas.

    Paso 2: Configurar el certificado SSL

    1. En el paso Certificate Management Service, seleccione un Server Certificate ya cargado o haga clic en Create Server Certificate para cargar uno nuevo. También puede comprar certificados. Create a certificate.

    2. (Opcional) Haga clic en Modify junto a Advanced Settings para configurar la autenticación mutua o una política de seguridad TLS.

      1. Active Mutual Authentication y seleccione un certificado de CA ya cargado, o bien cree uno nuevo. Purchase and enable a private CA.

      2. Seleccione una TLS Security Policy.

        Nota

        Las políticas de seguridad TLS solo son compatibles con instancias de CLB de alto rendimiento y especifican las versiones de TLS y los conjuntos de cifrado permitidos. TLS security policies.

    Paso 3: Agregar servidores de backend

    Después de crear el listener, agregue los servidores de backend que procesarán las solicitudes. Utilice el grupo de servidores predeterminado o cree un grupo vServer. CLB server groups.

    Importante

    Los listeners HTTPS no son compatibles con grupos de servidores primarios y secundarios.

    1. En el paso Backend Servers, seleccione Default Server Group y haga clic en Add More.

    2. En el paso Servers, seleccione los servidores de backend que desea agregar y haga clic en Next.

    3. En el paso Ports/Weights, configure el peso de cada servidor de backend.

      El peso predeterminado es 100. Los servidores con mayor peso reciben más solicitudes. Si establece el peso en 0, se detiene todo el tráfico hacia ese servidor.

    4. Haga clic en Add. Especifique el puerto que usará cada servidor de backend para recibir solicitudes. Valores válidos: de 1 a 65535.

      Varios servidores de backend de la misma instancia de CLB pueden usar el mismo puerto.

    Paso 4: Configurar las comprobaciones de estado y confirmar

    Las comprobaciones de estado de CLB supervisan la disponibilidad de los servidores de backend y dirigen el tráfico lejos de los servidores con problemas.

    No es posible deshabilitar las comprobaciones de estado en los listeners asociados con grupos de servidores primarios y secundarios.

    1. (Opcional) En el paso Health Check, haga clic en Modify para ajustar la configuración de las comprobaciones de estado y luego haga clic en Next. Configure and manage CLB health checks.

    2. En el paso Confirm, revise la configuración del listener. Haga clic en Modify para cambiar cualquier parámetro.

    3. Haga clic en Submit. En el mensaje Configuration Successful, haga clic en OK.

    El nuevo listener aparece en la pestaña Listener de la página de detalles de la instancia.

    Comprobar el listener HTTPS

    Una vez creado el listener, compruebe que el tráfico HTTPS se procesa correctamente:

    1. En la pestaña Listener, confirme que el estado del listener es Running.

    2. Abra un navegador y vaya a https://<CLB-instance-IP>:<listener-port>. Si utilizó el puerto 443, vaya a https://<CLB-instance-IP>.

    3. Compruebe que los servidores de backend devuelven el contenido esperado. Si utilizó un certificado autofirmado, acepte la advertencia de seguridad del navegador para continuar.

    4. Si la página no carga, revise lo siguiente:

      • El servidor de backend está en ejecución y escuchando en el puerto HTTP configurado.

      • Las reglas del security group permiten el tráfico entrante en el puerto del listener.

      • El certificado de servidor es válido y coincide con el nombre de dominio.

      • Las comprobaciones de estado se superan en como mínimo un servidor de backend.

    Preguntas frecuentes

    ¿CLB admite HTTPS de extremo a extremo?

    No. CLB descifra HTTPS en el listener y reenvía las solicitudes a los servidores de backend mediante HTTP. Esto simplifica la configuración del backend y elimina la sobrecarga de TLS.

    Para implementar HTTPS de extremo a extremo, utilice una de estas alternativas:

    1. Cree una instancia de ALB con un listener HTTPS. Configure end-to-end HTTPS encryption.

    2. Configure un listener TCP en la instancia de CLB e instale los certificados SSL directamente en sus servidores de backend.

    ¿Qué puerto deben usar los listeners HTTPS?

    No existen restricciones de puerto, pero se recomienda el puerto 443 por ser el estándar de HTTPS.

    ¿Qué formatos de certificado admite CLB?

    CLB admite certificados de servidor y certificados de CA en formato PEM. Los certificados de servidor requieren tanto el certificado como la clave privada. Los certificados de CA solo necesitan el certificado.

    ¿CLB admite certificados creados con keytool?

    Sí, pero debe convertirlos al formato PEM antes de cargarlos. Convert certificate formats.

    ¿Puedo usar certificados PKCS#12 (PFX)?

    Sí. Conviértalos al formato PEM antes de cargarlos. Convert certificate formats.

    ¿Por qué aparece el error KeyEncryption al cargar certificados?

    La clave privada contiene información no válida. Certificate requirements and format conversion.

    ¿Qué versiones del protocolo TLS admiten los listeners HTTPS?

    Los listeners HTTPS admiten TLSv1.0, TLSv1.1, TLSv1.2 y TLSv1.3.

    ¿Cuál es el TTL de un ticket de sesión HTTPS?

    300 segundos.

    ¿Puedo cargar un certificado con DH PARAMETERS?

    No. Los listeners HTTPS de CLB utilizan conjuntos de cifrado ECDHE y no admiten parámetros DHE. No es posible cargar certificados que contengan el campo BEGIN DH PARAMETERS.

    ¿Los listeners HTTPS admiten SNI?

    Sí. SNI permite utilizar varios certificados SSL en la misma dirección IP. Add and manage additional domain names.

    ¿CLB admite WebSocket Secure?

    Sí. Los listeners HTTPS de CLB admiten WSS de forma predeterminada. Use WebSocket to enable real-time messaging.

    ¿Cómo configuro la redirección de HTTP a HTTPS?

    Primero cree un listener HTTPS. Luego cree un listener HTTP y habilite Redirection by Listener en dicho listener HTTP. Redirect HTTP requests to HTTPS using CLB.

    Referencias