Server Load Balancer:SM HTTPS Secure Communication

1. Créer une instance ECS et déployer un service

1. Créez une instance ECS avec les configurations suivantes.

   • Name : ECS01

   • Region : Chine (Shanghai)

   • VPC: VPC1

   • vSwitch : VSW1

   • Image: Alibaba Cloud Linux 3.2104 LTS 64 bits

2. Connectez-vous à l'instance ECS01. Exécutez les commandes suivantes pour déployer un service Nginx.

   sudo yum install -y nginx
   sudo systemctl start nginx
   echo "Hello from ECS backend" | sudo tee /usr/share/nginx/html/index.html

3. Ajoutez une règle entrante à haute priorité au groupe de sécurité de l'instance ECS pour autoriser le trafic entrant.

   • Policy : Autoriser

   • Protocol : TCP personnalisé

   • Source: Sélectionnez IPv4, puis sélectionnez This VPC CIDR block.

   • Destination (cette instance): Sélectionnez Port, puis sélectionnez HTTP (80).

Créer une instance à l'aide de l'assistant , Méthodes de connexion , Ajouter des règles de groupe de sécurité .

2. Créer une instance ALB

1. Connectez-vous à la console ALB, sélectionnez la région Chine (Shanghai), puis cliquez sur Create ALB.

2. Sur la page d'achat, spécifiez les paramètres suivants et cliquez sur Create Now.

   • Instance Network Type : Sélectionnez Internet.

   • VPC : Sélectionnez VPC1.

   • Zone : Sélectionnez Shanghai Zone E avec VSW1 et Shanghai Zone F avec VSW2. Activez Assign EIP.

   • IP Version : Sélectionnez IPv4.

   • Edition (Instance Fee) : Sélectionnez Standard.

3. Sur la page Confirm Order, vérifiez les configurations de l'instance et cliquez sur Activate Now.

3. Créer un groupe de serveurs et ajouter des serveurs

1. Dans la console Server Group, assurez-vous que la région Chine (Shanghai) est sélectionnée, puis cliquez sur Create Server Group.

2. Configurez le groupe de serveurs comme suit et cliquez sur Create.

   • Server Group Type : Sélectionnez Server.

   • Server Group Name : Saisissez sg-nginx.

   • VPC : Sélectionnez VPC1.

   • Backend Server Protocol : Conservez la valeur par défaut HTTP.

3. Dans la boîte de dialogue The server group is created, cliquez sur Add Backend Servers. Sélectionnez ECS01 et cliquez sur Next. À l'étape Ports/Weights, définissez le Port du serveur sur 80 et cliquez sur OK.

4. Créer une politique de sécurité TLS personnalisée

Les certificats SM2 nécessitent une politique de sécurité TLS personnalisée avec une suite de chiffrement SM associée à l'écouteur. Les politiques de sécurité système n'incluent pas de suites de chiffrement SM.

1. Dans le volet de navigation de gauche de la console ALB, cliquez sur TLS Security Policies. Sous l'onglet Custom Policy, cliquez sur Create Custom Policy.

2. Dans le panneau qui s'affiche, définissez le Name de la politique sur gm-tls-policy et la Minimum Version sur TLS 1.0 or Later. Dans la section Cipher Suite, déplacez ECC-SM2-WITH-SM4-SM3 vers la zone de sélection, puis cliquez sur Create.

ECC-SM2-WITH-SM4-SM3 est un alias pour ECC-SM2-SM4-CBC-SM3 et ECC_SM4_CBC_SM3 .

5. Créer un écouteur HTTPS avec un certificat SM2

1. Dans la console ALB, cliquez sur l'ID de l'instance cible pour accéder à la page Instance Details. Sous l'onglet Listener, cliquez sur Create Listener.

2. À l'étape Configure Listener, définissez Listener Protocol sur HTTPS et Listener Port sur 443. Cliquez ensuite sur Next.

3. À l'étape SSL Certificate, sélectionnez votre certificat SM2. Le type d'algorithme s'affiche dans la liste des certificats, où SM2 indique un certificat SM2. Sélectionnez gm-tls-policy pour TLS Security Policies et cliquez sur Next.

4. À l'étape Server Group, sélectionnez le groupe de serveurs sg-nginx et cliquez sur Next.

5. À l'étape Configuration Review, confirmez les configurations et cliquez sur Submit.

Après avoir configuré un certificat SM2, vous devez sélectionner une politique de sécurité TLS personnalisée incluant une suite de chiffrement SM. Sinon, les clients ne pourront pas accéder à votre service.

6. Configurer la résolution de noms de domaine

Ajoutez un enregistrement CNAME pour mapper votre nom de domaine personnalisé au nom DNS de l'instance ALB.

Cet exemple utilise Alibaba Cloud DNS. Si votre nom de domaine n'est pas enregistré auprès d'Alibaba Cloud, ajoutez d'abord le nom de domaine à la console Alibaba Cloud DNS.

1. Dans la console ALB, copiez le Domain Name de l'instance cible.

2. Connectez-vous à la console Alibaba Cloud DNS. Pour le nom de domaine cible, cliquez sur Settings dans la colonne Actions. Sur la page Settings, cliquez sur Add Record.

3. Ajoutez un enregistrement CNAME avec les informations suivantes et cliquez sur OK.

   • Record Type : Sélectionnez CNAME.

   • Hostname : Saisissez un préfixe, par exemple sm2. Si votre nom de domaine personnalisé est example.com, le nom de domaine utilisé pour accéder à l'instance ALB est sm2.example.com.

   • Query Source et TTL : Conservez les valeurs par défaut.

   • Record Value : Saisissez le nom DNS de l'instance ALB.

4. Dans la boîte de dialogue Change Resource Record Confirmation, confirmez les informations de l'enregistrement DNS et cliquez sur OK.

7. Vérifier la configuration

• Remplacez sm2.example.com par le nom de domaine que vous avez configuré à l'étape 6. Assurez-vous que l'enregistrement DNS a pris effet.

• L'accès aux sites web sécurisés par SM2 nécessite un navigateur compatible SM. Cet exemple utilise le navigateur ZOS.

Limitations

• Seules les instances ALB mises à niveau prennent en charge les certificats SM2. Utilisez le clonage d'instance ALB pour migrer les services depuis une instance antérieure à la mise à niveau.

• Seules les instances ALB Standard et celles activées pour WAF prennent en charge les certificats SM2. Les éditions Basic et Advanced ne prennent pas en charge cette fonctionnalité.

• Les certificats SM2 ne prennent pas en charge l'authentification mutuelle ni les certificats CA SM2.

Facturation

• Instance ALB : ALB prend en charge la facturation au paiement à l'utilisation et par abonnement. Aperçu de la facturation ALB.

• Instance ECS : Aperçu de la facturation ECS. Pour les tests, créez une instance au paiement à l'utilisation avec des spécifications faibles et libérez-la ensuite pour éviter des frais inutiles.

• Frais de nom de domaine et de résolution DNS : Outre les frais du fournisseur de nom de domaine, Alibaba Cloud DNS facture la résolution DNS autoritaire publique.

FAQ

Références

• Gérer les certificats : Types de certificats et logique de correspondance pour ALB.

• Ajouter un écouteur HTTPS : Paramètres de configuration de l'écouteur HTTPS.

• Politiques de sécurité TLS : Politiques de sécurité système et personnalisées.