Server Load Balancer:Komunikasi Aman SM HTTPS

1. Buat instans ECS dan deploy layanan

1. Buat instans ECS dengan konfigurasi berikut.

   • Name: ECS01

   • Region: Tiongkok (Shanghai)

   • VPC: VPC1

   • vSwitch: VSW1

   • Image: Alibaba Cloud Linux 3.2104 LTS 64-bit

2. Sambungkan ke instans ECS01. Jalankan perintah berikut untuk deploy layanan Nginx.

   sudo yum install -y nginx
   sudo systemctl start nginx
   echo "Hello from ECS backend" | sudo tee /usr/share/nginx/html/index.html

3. Tambahkan aturan inbound prioritas tinggi ke security group instans ECS untuk mengizinkan traffic masuk.

   • Policy: Allow

   • Protocol: Custom TCP

   • Source: Pilih IPv4, lalu pilih This VPC CIDR block.

   • Destination (This Instance): Pilih Port, lalu pilih HTTP (80).

Buat instans menggunakan wizard, Metode koneksi, Tambahkan aturan security group.

2. Buat instans ALB

1. Login ke ALB console, pilih wilayah Tiongkok (Shanghai), lalu klik Create ALB.

2. Pada halaman pembelian, tentukan parameter berikut dan klik Create Now.

   • Instance Network Type: Pilih Internet.

   • VPC: Pilih VPC1.

   • Zone: Pilih Shanghai Zone E dengan VSW1 dan Shanghai Zone F dengan VSW2. Aktifkan Assign EIP.

   • IP Version: Pilih IPv4.

   • Edition (Instance Fee): Pilih Standard.

3. Pada halaman Confirm Order, verifikasi konfigurasi instans dan klik Activate Now.

3. Buat server group dan tambahkan server

1. Di Server Group console, pastikan wilayah Tiongkok (Shanghai) dipilih, lalu klik Create Server Group.

2. Konfigurasikan server group sebagai berikut dan klik Create.

   • Server Group Type: Pilih Server.

   • Server Group Name: Masukkan sg-nginx.

   • VPC: Pilih VPC1.

   • Backend Server Protocol: Gunakan nilai default HTTP.

3. Pada kotak dialog The server group is created, klik Add Backend Servers. Pilih ECS01 dan klik Next. Pada langkah Ports/Weights, atur Port server ke 80 dan klik OK.

4. Buat kebijakan keamanan TLS kustom

Sertifikat SM2 memerlukan kebijakan keamanan TLS kustom dengan paket sandi SM yang dikaitkan dengan listener. Kebijakan keamanan sistem tidak mencakup paket sandi SM.

1. Pada panel navigasi kiri ALB console, klik TLS Security Policies. Pada tab Custom Policy, klik Create Custom Policy.

2. Pada panel yang muncul, atur Name kebijakan menjadi gm-tls-policy dan Minimum Version menjadi TLS 1.0 or Later. Pada bagian Cipher Suite, pindahkan ECC-SM2-WITH-SM4-SM3 ke kotak terpilih, lalu klik Create.

ECC-SM2-WITH-SM4-SM3 adalah alias untuk ECC-SM2-SM4-CBC-SM3 dan ECC-SM2-SM4-GCM-SM3.

5. Buat listener HTTPS dengan sertifikat SM2

1. Di ALB console, klik ID instans target untuk membuka halaman Instance Details. Pada tab Listener, klik Create Listener.

2. Pada langkah Configure Listener, atur Listener Protocol menjadi HTTPS dan Listener Port menjadi 443. Lalu, klik Next.

3. Pada langkah SSL Certificate, pilih sertifikat SM2 Anda. Jenis algoritma ditampilkan dalam daftar sertifikat, di mana SM2 menunjukkan sertifikat SM2. Pilih gm-tls-policy untuk TLS Security Policies dan klik Next.

4. Pada langkah Server Group, pilih server group sg-nginx dan klik Next.

5. Pada langkah Configuration Review, konfirmasi konfigurasi dan klik Submit.

Setelah mengonfigurasi sertifikat SM2, Anda harus memilih kebijakan keamanan TLS kustom yang mencakup paket sandi SM. Jika tidak, klien tidak dapat mengakses layanan Anda.

6. Konfigurasikan resolusi nama domain

Tambahkan rekaman CNAME untuk memetakan nama domain kustom Anda ke nama DNS instans ALB.

Contoh ini menggunakan Alibaba Cloud DNS. Jika nama domain Anda tidak didaftarkan di Alibaba Cloud, tambahkan nama domain ke konsol Alibaba Cloud DNS terlebih dahulu.

1. Di ALB console, salin Domain Name instans target.

2. Login ke Alibaba Cloud DNS console. Untuk nama domain target, klik Settings pada kolom Actions. Pada halaman Settings, klik Add Record.

3. Tambahkan rekaman CNAME dengan informasi berikut dan klik OK.

   • Record Type: Pilih CNAME.

   • Hostname: Masukkan awalan, misalnya sm2. Jika nama domain kustom Anda adalah example.com, nama domain yang digunakan untuk mengakses instans ALB adalah sm2.example.com.

   • Query Source dan TTL: Pertahankan nilai default.

   • Record Value: Masukkan nama DNS instans ALB.

4. Pada kotak dialog Change Resource Record Confirmation, konfirmasi informasi rekaman DNS dan klik OK.

7. Verifikasi konfigurasi

• Ganti sm2.example.com dengan nama domain yang Anda konfigurasikan pada Langkah 6. Pastikan rekaman DNS telah berlaku.

• Mengakses situs web yang diamankan dengan SM2 memerlukan browser yang kompatibel dengan SM. Contoh ini menggunakan browser ZOS.

Batasan

• Hanya instans ALB yang telah ditingkatkan yang mendukung sertifikat SM2. Gunakan kloning instans ALB untuk memigrasikan layanan dari instans sebelum peningkatan.

• Hanya instans ALB edisi Standard dan yang diaktifkan WAF yang mendukung sertifikat SM2. Edisi Basic dan Advanced tidak mendukung fitur ini.

• Sertifikat SM2 tidak mendukung otentikasi timbal balik atau sertifikat CA SM2.

Penagihan

• Instans ALB: ALB mendukung penagihan pay-as-you-go dan subscription. Ikhtisar penagihan ALB.

• Instans ECS: Ikhtisar penagihan ECS. Untuk pengujian, buat instans pay-as-you-go spesifikasi rendah dan rilis setelah selesai untuk menghindari biaya yang tidak perlu.

• Biaya nama domain dan resolusi DNS: Selain biaya penyedia nama domain, Alibaba Cloud DNS membebankan biaya untuk resolusi DNS otoritatif publik.

FAQ

Referensi

• Kelola sertifikat: Jenis sertifikat dan logika pencocokan untuk ALB.

• Tambahkan listener HTTPS: Parameter konfigurasi listener HTTPS.

• Kebijakan keamanan TLS: Kebijakan keamanan sistem dan kustom.