Los listeners HTTPS utilizan certificados SSL para habilitar el acceso cifrado y la autenticación de identidad. Este tema describe el flujo de trabajo completo para usar certificados en CLB, incluida la selección y preparación del formato del certificado, su creación, la asociación con un listener HTTPS, así como su posterior reemplazo y renovación al vencerse.
Selección y preparación del certificado
Modos de autenticación
CLB admite la autenticación unidireccional y la autenticación mutua:
Autenticación unidireccional: CLB requiere únicamente un certificado de servidor. El cliente verifica la identidad del servidor.
Autenticación mutua: CLB requiere tanto un certificado de servidor como un certificado de CA. El servidor y el cliente se autentican entre sí.
La mayoría de los sitios web públicos solo necesitan autenticación unidireccional. Configure la autenticación mutua únicamente cuando necesite verificar la identidad del cliente, como en sistemas empresariales internos o para la autenticación de llamadas a API.
Orígenes de certificados
CLB admite certificados de dos orígenes:
Alibaba Cloud Certificate Management Service: Seleccione directamente un certificado que haya adquirido en Alibaba Cloud Certificate Management Service. Este método facilita la gestión centralizada y ofrece recordatorios de vencimiento y renovación con un solo clic. Solo admite certificados de servidor y no es compatible con certificados de CA de cliente.
Certificado de terceros: Cargue un certificado emitido por otro proveedor o un certificado autofirmado. Con este método, debe cargar manualmente los archivos de clave pública y clave privada del certificado. Admite tanto certificados de servidor como certificados de CA de cliente.
Un certificado de CA de cliente solo se puede agregar cargando su contenido; no es posible seleccionarlo desde Alibaba Cloud Certificate Management Service. Si necesita crear su propia CA y emitir certificados de cliente, consulte Generate a CA certificate by using OpenSSL .
Requisitos de formato del certificado
CLB solo admite certificados en formato PEM. Antes de crear un certificado, asegúrese de que su certificado, la cadena de certificados y la clave privada cumplan con los siguientes requisitos de formato. Los certificados en otros formatos deben convertirse primero a formato PEM. Para obtener más información, consulte Convert the certificate format.
Tipo de certificado compatible: certificados estándar internacional (RSA).
Algoritmos de clave pública compatibles: RSA 1024, RSA 2048 y RSA 4096.
No se pueden cargar archivos PEM que contengan el campo
BEGIN DH PARAMETERS. Los conjuntos de cifrado ECDHE que utilizan los listeners HTTPS ya admiten confidencialidad directa perfecta, por lo que no son necesarios los archivos de parámetros de mejora de seguridad requeridos por los conjuntos de cifrado DHE.
Los requisitos de formato para un certificado de clave pública varían según la autoridad emisora. Consulte los requisitos correspondientes al origen de su certificado:
Certificado emitido por una CA raíz
Si el certificado lo emite una CA raíz, obtiene un único certificado y no se requieren certificados adicionales. De este modo, los dispositivos de acceso, como los navegadores, confiarán en el sitio configurado.
El formato del certificado debe cumplir los siguientes requisitos:
Debe comenzar con
-----BEGIN CERTIFICATE-----, -----END CERTIFICATE-----y terminar con la misma cadena.Cada línea contiene 64 caracteres, y la última línea puede contener menos de 64 caracteres.
El contenido del certificado no puede contener espacios.
Certificado emitido por una CA intermedia
Si el certificado lo emite una CA intermedia, el archivo de certificado que obtiene contiene varios certificados. Debe combinar el certificado de servidor y el certificado intermedio antes de cargarlos.
El formato de la cadena de certificados debe cumplir los siguientes requisitos:
El certificado de servidor va primero, seguido por el certificado intermedio, sin líneas en blanco entre ellos.
El contenido del certificado no puede contener espacios.
No puede haber líneas en blanco entre los certificados, y cada línea debe contener 64 bytes. Para obtener más información, consulte RFC1421.
El certificado cumple con el formato requerido. Por lo general, una CA intermedia proporciona las instrucciones correspondientes al emitir un certificado, y este debe cumplir con los requisitos de formato de dicha CA.
El siguiente ejemplo muestra una cadena de certificados emitida por una CA intermedia:
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----Requisitos de formato de clave privada RSA
Cuando carga un certificado de servidor, también debe cargar la clave privada del certificado.
El formato de la clave privada RSA debe cumplir los siguientes requisitos:
Debe comenzar con
-----BEGIN RSA PRIVATE KEY-----, -----END RSA PRIVATE KEY-----y terminar con la misma cadena. Cargue este contenido junto con la clave.No puede haber líneas en blanco entre las cadenas. Cada línea contiene 64 caracteres, y la última línea puede contener menos de 64 caracteres. Para obtener más información, consulte RFC1421.
Si su clave privada está cifrada (por ejemplo, si comienza y termina con -----BEGIN PRIVATE KEY-----, -----END PRIVATE KEY----- o -----BEGIN ENCRYPTED PRIVATE KEY-----, -----END ENCRYPTED PRIVATE KEY-----), o si contiene Proc-Type: 4,ENCRYPTED, primero debe ejecutar el siguiente comando para convertirla:
openssl rsa -in old_server_key.pem -out new_server_key.pemEn algunas versiones posteriores de OpenSSL,openssl rsagenera PKCS#8 de forma predeterminada, lo que provoca que la conversión falle. Utiliceopenssl rsa -in old_server_key.pem -out new_server_key.pem -traditionalpara realizar la conversión.
Conversión del formato del certificado
Si su certificado no está en formato PEM, utilice OpenSSL para convertirlo a dicho formato antes de cargarlo.
DER a PEM
El formato DER se utiliza habitualmente en la plataforma Java. Los archivos de certificado suelen tener la extensión .der, .cer o .crt.
-
Ejecute el siguiente comando para convertir el certificado:
openssl x509 -inform der -in certificate.cer -out certificate.pem -
Ejecute el siguiente comando para convertir la clave privada:
openssl rsa -inform DER -outform PEM -in privatekey.der -out privatekey.pem
P7B a PEM
El formato P7B se usa comúnmente en Windows Server y Tomcat.
Ejecute el siguiente comando para convertir el certificado:
openssl pkcs7 -print_certs -in incertificate.p7b -out outcertificate.cerPFX a PEM
El formato PFX se utiliza típicamente en Windows Server.
-
Ejecute el siguiente comando para extraer el certificado:
openssl pkcs12 -in certname.pfx -nokeys -out cert.pem -
Ejecute el siguiente comando para extraer la clave privada:
openssl pkcs12 -in certname.pfx -nocerts -out key.pem -nodes
Lógica de coincidencia de certificados en escenarios multidominio
Un listener HTTPS solo se puede configurar con un certificado predeterminado. Para utilizar diferentes certificados para varios nombres de dominio en el mismo listener HTTPS, emplee la función de dominio adicional.
Cuando un cliente envía una solicitud, CLB utiliza Server Name Indication (SNI) para identificar el nombre de dominio solicitado: primero usa el certificado configurado para el dominio adicional que coincide con el nombre de dominio; si no encuentra ninguna coincidencia, recurre al certificado predeterminado configurado para el listener.
Cuando un listener utiliza varios certificados comodín, solo el certificado comodín que se configuró primero coincidirá automáticamente con todos sus subdominios. Los certificados comodín configurados posteriormente no coincidirán de forma automática. Debe agregar un dominio adicional para cada subdominio específico y especificar el certificado comodín correspondiente.
Por ejemplo, si primero configura un certificado *.example.com y luego configura un certificado *.test.com, el comportamiento de coincidencia de ambos será distinto:
|
Nombre de dominio accedido por el cliente |
Coincidencia automática del certificado |
Operación requerida |
|
|
Sí. Coincide automáticamente con el certificado |
No se requiere configuración adicional. |
|
|
No. De forma predeterminada, no coincide automáticamente con el certificado |
Agregue un dominio adicional para |
Tenga en cuenta lo siguiente al utilizar dominios adicionales:
Entre las instancias de CLB basadas en especificaciones, solo guaranteed-performance specifications admiten SNI, lo que significa que únicamente estas instancias son compatibles con dominios adicionales.
El dominio adicional que agregue debe ser coherente con el nombre de dominio del certificado de servidor seleccionado.
Un dominio adicional solo surte efecto cuando se usa junto con una regla de reenvío, y el nombre de dominio configurado en dicha regla debe coincidir con el dominio adicional.
De forma predeterminada, un listener HTTPS admite hasta 3 dominios adicionales, cifra que puede aumentarse a un máximo de 10.
Para conocer el método de configuración y la descripción completa de los dominios adicionales, consulte CLB additional domain names.
Límites
Solo los listeners HTTPS admiten la asociación de certificados. Los listeners HTTP transmiten datos en texto plano, y los listeners de capa 4, como los de TCP y UDP, no permiten asociar certificados. Para habilitar la transmisión cifrada en estos listeners, despliegue el certificado en sus servidores backend.
Los certificados no se pueden utilizar entre regiones ni entre cuentas. Para usar un certificado en varias regiones, seleccione todas las regiones necesarias al crearlo. Para utilizar un certificado en varias cuentas, primero Download an SSL certificate en la cuenta donde se creó el certificado y luego upload it en la cuenta de destino.
Creación de un certificado
Consola
-
Complete los preparativos:
Uso de un certificado emitido por Alibaba Cloud: Asegúrese de haber adquirido o cargado el certificado de servidor necesario en la consola de SSL Certificates Service.
Uso de un certificado de terceros: Prepare los archivos de clave pública y clave privada del certificado de servidor en formato PEM. Para la autenticación mutua, prepare también el archivo de clave pública del certificado de CA en formato PEM.
Vaya a la consola de CLB. En el panel de navegación izquierdo, elija CLB > Certificates y luego haga clic en Add Certificate.
-
En el panel Add Certificate, complete la configuración según el origen del certificado y luego haga clic en Create.
Seleccione Alibaba Cloud Certificates, elija el certificado SSL que necesita en Certificates y seleccione la Region.
-
Seleccione Third-party Certificates y complete la siguiente configuración:
-
Certificate Type: Seleccione el tipo de certificado que desea cargar. La página mostrará los elementos de configuración correspondientes según el tipo elegido.
Si selecciona Server Certificate, cargue el certificado de clave pública y la clave privada, y seleccione la Region.
Si selecciona CA Certificate, cargue el certificado de clave pública de CA de cliente (utilizado para verificar la identidad del cliente en la autenticación mutua) y seleccione la Region.
El contenido del certificado cargado es compatible con el formato NGINX. Puede hacer clic en View Sample para consultar correct format .
-
API
Llame a UploadServerCertificate para cargar un certificado de servidor. Cuando utilice un certificado emitido por Alibaba Cloud, pase
AliCloudCertificateIdpara especificar el certificado. Al cargar un certificado de terceros, pase el contenido del certificado y la clave privada medianteServerCertificateyPrivateKey.Llame a UploadCACertificate para cargar un certificado de CA de cliente y pase el contenido del certificado mediante
CACertificate.
Asociación de un certificado con un listener HTTPS
Una vez creado un certificado, este solo surte efecto después de asociarlo con un listener HTTPS. El certificado se selecciona al agregar un listener HTTPS. Las siguientes secciones enumeran únicamente los elementos de configuración relacionados con los certificados. Para conocer el proceso completo de configuración del listener, consulte Add an HTTPS listener.
Los listeners HTTPS realizan el descifrado en CLB y reenvían las solicitudes a los servidores backend a través de HTTP en lugar de HTTPS. Por lo tanto, los servidores backend deben proporcionar servicios mediante HTTP, y usted debe asegurarse de que configuraciones como las verificaciones de estado y los puertos backend coincidan con el protocolo HTTP (por ejemplo, el puerto backend suele ser el 80).
Consola
En el asistente de configuración de Certificate Management Service, seleccione el certificado de servidor que creó.
-
Opcional: Haga clic en Modify a la derecha de Advanced Settings y configure la autenticación mutua y la política de seguridad TLS según sea necesario.
Active Mutual Authentication y seleccione el certificado de CA que cargó. Si utiliza una CA propia para emitir certificados de cliente, consulte Generate a CA certificate by using OpenSSL.
Seleccione una TLS Security Policy. Entre las instancias de CLB basadas en especificaciones, solo guaranteed-performance specifications permiten seleccionar una política de seguridad TLS. Para conocer las versiones del protocolo TLS y los conjuntos de cifrado que admite cada política, consulte TLS security policies.
Siga el asistente para completar configuraciones como las de servidores backend y verificaciones de estado, y luego envíe la configuración. Una vez creado el listener, el certificado entrará en vigor.
API
Llame a CreateLoadBalancerHTTPSListener para asociar un certificado al crear un listener HTTPS. Especifique el certificado de servidor mediante
ServerCertificateId. Para la autenticación mutua, especifique el certificado de CA a través deCACertificateId.Llame a SetLoadBalancerHTTPSListenerAttribute para modificar el certificado asociado con un listener HTTPS existente.
Reemplazo de un certificado
Cuando un certificado está por vencerse, necesita cambiar la autoridad emisora o el certificado tiene una configuración incorrecta, debe reemplazarlo. CLB ofrece dos métodos de reemplazo. Elija uno según el alcance del impacto. Independientemente del método que utilice, le recomendamos que Verify that the certificate takes effect una vez completado el reemplazo.
|
Elemento de comparación |
Método 1: Reemplazar el certificado del listener |
Método 2: Reemplazar el certificado mediante la gestión de certificados |
|
Alcance del impacto |
Solo el certificado predeterminado del listener HTTPS actual. |
Todos los listeners y dominios adicionales asociados con el certificado. |
|
Escenario |
Necesita reemplazar el certificado de un solo listener, o también debe ajustar la autenticación mutua o la política de seguridad TLS. |
Varios listeners o dominios adicionales utilizan el mismo certificado y necesita reemplazarlos todos a la vez. |
|
Requisito previo |
Ninguno. |
El certificado debe estar asociado con al menos un listener o dominio adicional. |
Al reemplazar un certificado, CLB actualiza la configuración del certificado del listener. Durante este proceso, puede producirse una breve interrupción de la conexión HTTPS (de unos pocos segundos, que se manifiesta como un error de conexión SSL), tras lo cual la conexión se recupera automáticamente. Le recomendamos realizar esta operación fuera de las horas pico. Si ocurre alguna anomalía después del reemplazo, puede revertir el cambio volviendo a establecer el certificado original en el listener.
Método 1: Reemplazar el certificado del listener
Consola
Vaya a la consola de CLB y haga clic en el ID de la instancia de destino. En la pestaña Listener, localice el listener HTTPS deseado. En la columna Operations, haga clic en Manage Certificate.
En el panel Manage Certificate, seleccione un nuevo certificado de servidor en la lista desplegable Server Certificate (Default Certificate). Si también desea ajustar la autenticación mutua o la política de seguridad TLS, modifíquelas en Advanced Settings y luego haga clic en OK.
Este método solo reemplaza el certificado predeterminado del listener y no sustituye los certificados de los dominios adicionales. Si el listener tiene configurados dominios adicionales, update the certificates of the additional domains por separado, o utilice el siguiente método para reemplazar todos los objetos asociados con el certificado de una sola vez.
API
Llame a UploadServerCertificate para cargar el nuevo certificado y obtener su ID.
Llame a SetLoadBalancerHTTPSListenerAttribute y pase el nuevo
ServerCertificateIdpara actualizar el certificado del listener HTTPS.-
Si el listener tiene configurados dominios adicionales, llame a SetDomainExtensionAttribute para cada dominio adicional con el fin de actualizar su certificado por separado.
Actualizar únicamente el certificado del listener no actualiza simultáneamente los certificados de los dominios adicionales. Si omite un dominio adicional, se seguirá utilizando el certificado antiguo cuando se acceda al nombre de dominio correspondiente.
Método 2: Reemplazar el certificado mediante la gestión de certificados
Después de reemplazar un certificado a través de la gestión de certificados, los certificados de todos los listeners y dominios adicionales asociados también se sustituyen automáticamente.
Solo se puede reemplazar un certificado que esté asociado con al menos un listener o dominio adicional.
Vaya a la consola de CLB. En el panel de navegación izquierdo, elija CLB > Certificates.
-
En la página Certificates, localice el certificado de destino que desea reemplazar. En la columna Operations, haga clic en Change Certificates. En la página Replace Server Certificate, complete la configuración y luego haga clic en Change Certificates.
-
Seleccione Create and Replace Certificate.
Seleccione Alibaba Cloud Certificates y elija el nuevo certificado en Certificates.
Seleccione Third-party Certificates y pegue el contenido de la clave pública y la clave privada del nuevo certificado.
Seleccione Replace with Existing Certificate y elija el certificado de servidor que utilizará para el reemplazo en la lista de certificados existentes.
-
Haga clic en Go to Certificate List. En la página Certificates, podrá confirmar que los listeners y dominios adicionales asociados se han actualizado con el nuevo certificado.
Verificación de que el certificado ha entrado en vigor
Acceda al sitio a través de un navegador y compruebe el periodo de validez en los detalles del certificado. Le recomendamos utilizar el modo de incógnito para evitar que la caché afecte su evaluación.
Si hay dominios adicionales configurados, verifique cada nombre de dominio por separado para confirmar que cada uno devuelve el certificado esperado.
Vencimiento y renovación de certificados
Una vez que un certificado vence, los clientes que accedan a su sitio recibirán una advertencia indicando que el certificado ha expirado o no es seguro. Por lo tanto, debe completar el reemplazo antes de que el certificado venza.
Al utilizar un certificado emitido por Alibaba Cloud Certificate Management Service, puede aprovechar los recordatorios de vencimiento y la renovación con un solo clic. Le recomendamos estar pendiente de las notificaciones de vencimiento en este servicio.
Antes de que el certificado venza, obtenga primero un nuevo certificado (renueve o reemita el certificado en Alibaba Cloud Certificate Management Service, o solicite un nuevo certificado a una autoridad emisora externa) y luego reemplace y verifique el certificado en CLB siguiendo las secciones anteriores.
Después de renovar o reemitir un certificado en Certificate Management Service, el certificado utilizado por el listener de CLB no se actualiza automáticamente. Aún debe llevar a cabo la operación de reemplazo de certificado en CLB.
Más información
Cuotas
|
Nombre de la cuota |
Descripción |
Valor predeterminado |
Ajustable |
|
slb_quota_certs_num |
Número de certificados de servidor que se pueden cargar en cada región. |
100 |
|
|
slb_quota_ca_certs_num |
Número de certificados de CA de cliente que se pueden cargar en cada región. |
100 |