Server Load Balancer:Use NLB to enable SSL offloading over TCP (mutual authentication)

Contexto

• Autenticación unidireccional: el cliente debe comprobar la identidad del servidor, pero este no necesita verificar la del cliente. El cliente descarga un certificado de clave pública del servidor para autenticarse. La conexión se establece únicamente después de comprobar la identidad del servidor.

• Autenticación mutua: el cliente descarga un certificado de servidor (certificado de clave pública) y carga un certificado de cliente (certificado de clave pública) en el servidor para autenticarse. La conexión se establece solo cuando se comprueban las identidades de ambas partes. Este método ofrece mayor seguridad.

Requisitos previos

• Se creó una instancia de NLB. Para obtener más información, consulte Create and manage NLB instances.

• Se crearon tres instancias de Elastic Compute Service (ECS). Para conocer el procedimiento de creación de una instancia, consulte Create an instance by using the wizard.

  • ECS01 y ECS02 se agregaron a la instancia de NLB como servidores de backend. En ECS01 y ECS02 se desplegaron aplicaciones NGINX distintas.

    Despliegue de aplicaciones en ECS01

    yum install -y nginx
    systemctl start nginx.service
    cd /usr/share/nginx/html/
    echo "Hello World ! This is ECS01." > index.html
    

    Despliegue de aplicaciones en ECS02

    yum install -y nginx
    systemctl start nginx.service
    cd /usr/share/nginx/html/
    echo "Hello World ! This is ECS02." > index.html
    

  • ECS03 se utiliza para generar certificados de servidor y de cliente autofirmados. Descargue OpenSSL desde el sitio de OpenSSL e instálelo en ECS03. La versión de OpenSSL debe ser 1.1.1 o posterior. Si utiliza un servidor Linux existente para generar los certificados autofirmados, no es necesario crear ECS03.

• Se creó un grupo de servidores para la instancia de NLB, y ECS01 y ECS02 se agregaron a dicho grupo. En este ejemplo, los puertos de backend de ECS01 y ECS02 se establecieron en 80.

  Importante

  • El protocolo de backend del grupo de servidores debe ser TCP. Las solicitudes que NLB envía al servidor de backend ya están descifradas mediante SSL, por lo que los servidores de backend no necesitan descifrarlas.

  • No es posible asociar listeners que usen SSL sobre TCP con grupos de servidores donde esté habilitada esta función. Asegúrese de que la función Client IP Preservation esté deshabilitada en el grupo de servidores.

Paso 1: Preparar un certificado de CA

Paso 2: Preparar un certificado de servidor

Un navegador comprueba la identidad de un servidor verificando si el certificado que este envía fue emitido por una CA de confianza. A continuación se describen dos métodos para obtener un certificado de servidor. Puede comprar uno en Certificate Management Service o cargar un certificado autofirmado en dicho servicio.

Paso 3: Preparar un certificado de cliente

Según sus necesidades de negocio, utilice uno de los siguientes métodos para preparar un certificado de cliente:

Paso 4: Instalar el certificado de cliente

Instale el certificado de cliente en su equipo. En este ejemplo se utilizan un cliente Windows y un cliente Linux para mostrar cómo instalar el certificado de cliente.

Cliente Windows

Cliente Linux

Paso 5: Configurar la autenticación mutua para un listener que usa SSL sobre TCP

1. Inicie sesión en la consola de NLB.

2. En la barra de navegación superior, seleccione la región de la instancia NLB.

3. En la página Instances, busque la instancia NLB y haga clic en Actions dentro de la columna Create Listener.

4. En el paso Configure Listener, configure los siguientes parámetros y haga clic en Next.

   La siguiente tabla describe únicamente algunos de los parámetros. Mantenga los valores predeterminados para el resto. Para obtener más información, consulte Create a listener that uses SSL over TCP.

   Parámetro	Procedimiento
   Listener Protocol	Seleccione un protocolo de listener. En este ejemplo se elige TCPSSL.
   Listener Port	Especifique el puerto en el que escucha la instancia NLB. La instancia utiliza este puerto para recibir solicitudes y reenviarlas a los servidores backend. En este ejemplo se usa el puerto 443.

5. En el paso Configure SSL Certificate, seleccione en la lista desplegable Server Certificate el certificado del servidor especificado en Step 2.

6. Active Enable Mutual Authentication. Seleccione en la lista desplegable Default CA Certificate el certificado de CA adquirido en el paso 1.

7. Seleccione una TLS Security Policy y haga clic en Next.

8. En el paso Select Server Group, seleccione el grupo de servidores que creó y consulte la información de los servidores backend ECS01 y ECS02. En este ejemplo, los puertos de los servidores backend están configurados en 80. Luego, haga clic en Next.

9. En el paso Configuration Review, confirme las configuraciones y haga clic en Submit.

Paso 6: Comprobar la autenticación mutua

Cliente Windows

1. Vaya a la página Instances de NLB, haga clic en el ID de la instancia NLB que desea gestionar y luego haga clic en la pestaña Listener para consultar el estado de la comprobación de estado de los listeners que usan SSL sobre TCP.

   Si la columna Health Check Status muestra Healthy, los servidores backend pueden procesar las solicitudes que reenvía el listener NLB.

2. Introduzca https://The domain name associated with the server certificate en la barra de direcciones de su navegador, por ejemplo, https://www.example.com. En el cuadro de diálogo que aparece, seleccione el certificado utilizado para verificar la identidad del cliente y haga clic en OK.

Cliente Linux

sudo curl --cert /root/ca/client.crt --key /root/ca/client.key --cacert /root/ca/root.crt www.example.com

$ sudo curl --cert /root/ca/client.crt --key /root/ca/client.key --cacert /root/ca/root.crt https://xxx.com.cn
Hello World ! This is ECS01.
$ sudo curl --cert /root/ca/client.crt --key /root/ca/client.key --cacert /root/ca/root.crt https://xxx.com.cn
Hello World ! This is ECS02.