Server Load Balancer:Nama domain tambahan CLB

Konsep utama

Server Name Indication (SNI) adalah ekstensi protokol SSL/TLS yang memungkinkan hosting beberapa sertifikat SSL pada satu alamat IP. Saat klien terhubung ke load balancer, CLB secara default menggunakan sertifikat yang dikonfigurasi untuk nama domain yang diminta guna mendekripsi lalu lintas tersebut. Jika tidak ditemukan sertifikat yang sesuai, CLB akan menggunakan sertifikat yang dikonfigurasi untuk pendengar tersebut.

Ketika sertifikat server yang terkait dengan nama domain tambahan kedaluwarsa, CLB melewati logika pencocokan SNI untuk sertifikat tersebut. Bahkan jika SNI dalam permintaan klien persis sesuai dengan nama domain dari sertifikat yang kedaluwarsa, CLB tidak akan menggunakan sertifikat tersebut. Sebagai gantinya, CLB menggunakan sertifikat default yang dikonfigurasi untuk pendengar HTTPS. Perilaku ini dapat menyebabkan klien menerima sertifikat default alih-alih sertifikat nama domain tambahan yang diharapkan, sehingga memicu peringatan ketidaksesuaian sertifikat SSL/TLS. Untuk menghindari dampak pada bisnis, perbarui sertifikat nama domain tambahan sebelum masa berlakunya habis.

Batasan

• Hanya instans CLB dengan jaminan performa yang mendukung SNI.

• Secara default, Anda dapat menambahkan hingga 3 nama domain tambahan ke pendengar HTTPS. Batas ini dapat ditingkatkan hingga maksimal 10. Untuk mengajukan peningkatan, buka Quota Center.

  Jika batas maksimum 10 nama domain tambahan tidak memenuhi kebutuhan Anda, pertimbangkan solusi berikut:

  • Gunakan beberapa pendengar HTTPS pada port yang berbeda dan konfigurasikan nama domain tambahan yang berbeda untuk setiap pendengar.

  • Migrasi ke Application Load Balancer (ALB). ALB menggunakan sertifikat dan aturan pengalihan untuk mengelola beberapa nama domain, mendukung hingga 300 sertifikat tambahan, serta menyediakan kondisi dan aksi pengalihan yang lebih advanced.

• CLB mendukung algoritma kunci publik berikut:

  • RSA 1024

  • RSA 2048

  • RSA 4096

Catatan penggunaan

• Nama domain tambahan harus sesuai dengan nama domain dalam sertifikat server yang dipilih.

• Jika Anda mengonfigurasi beberapa sertifikat wildcard, hanya sertifikat wildcard pertama yang secara otomatis mencocokkan permintaan untuk semua subdomain yang memenuhi syarat. Sertifikat wildcard berikutnya tidak secara otomatis mencocokkan permintaan. Anda harus mengonfigurasi nama domain tambahan untuk setiap subdomain spesifik dan secara eksplisit mengaitkannya dengan sertifikat wildcard yang sesuai.

  Sebagai contoh, jika Anda pertama kali mengonfigurasi sertifikat untuk *.example.com, lalu sertifikat untuk *.test.com, permintaan untuk abc.example.com akan secara otomatis dicocokkan. Namun, permintaan untuk abc.test.com tidak akan secara otomatis dicocokkan secara default. Anda harus mengonfigurasi nama domain tambahan baru untuk abc.test.com dan menentukan bahwa nama tersebut menggunakan sertifikat *.test.com.

Prasyarat

Anda telah membuat instans CLB dan mengonfigurasi pendengar HTTPS untuknya. Untuk informasi selengkapnya, lihat Tambahkan pendengar HTTPS.

Tambahkan nama domain tambahan

1. Masuk ke Konsol CLB.

2. Pada halaman Instances, klik ID instans target.

3. Pada tab Listener, temukan pendengar HTTPS yang telah Anda buat. Pada kolom Actions, pilih > Manage Additional Certificate.

4. Pada panel Manage Additional Certificate, klik Add Additional Certificate.

   1. Masukkan nama domain tambahan.

      Untuk memeriksa apakah nama domain valid, gunakan tool Alibaba Cloud Domain Name Check.

      Pengalihan berdasarkan nama domain mendukung dua mode pencocokan: exact match dan wildcard match.

      • Nama domain eksak: www.aliyun.com

      • Nama domain wildcard: *.aliyun.com, *.market.aliyun.com

        Jika suatu permintaan sesuai dengan beberapa aturan pengalihan berbasis domain, aturan tersebut diprioritaskan sebagai berikut: exact match > wildcard match yang lebih spesifik > wildcard match yang kurang spesifik.

        Catatan

        Pada tabel berikut, ✓ menunjukkan kecocokan dan × menunjukkan ketidakcocokan.

        Mode	URL permintaan uji	Aturan pengalihan domain
        		www.aliyun.com	*.aliyun.com	*.market.aliyun.com
        Exact match	www.aliyun.com	✓	×	×
        Wildcard match	market.aliyun.com	×	✓	×
        	info.market.aliyun.com	×	×	✓

   2. Pilih sertifikat server yang akan dikaitkan dengan nama domain tersebut.

   3. Klik OK.

      Nama domain tambahan hanya berlaku jika dikaitkan dengan aturan pengalihan.

5. Opsional: Konfigurasikan aturan pengalihan.

   1. Pada kotak dialog Note, klik Configure. Atau, pada halaman Instances, klik ID instans target, buka tab Listener, temukan pendengar HTTPS, lalu klik Set Forwarding Rule pada kolom Actions.

   2. Pada panel Add Forwarding Rules, masukkan nama domain dan konfigurasikan URL, lalu klik Add Forwarding Policy.

   Untuk informasi selengkapnya, lihat Konfigurasikan instans CLB untuk melayani beberapa nama domain melalui HTTPS.

   Catatan

   Pastikan nama domain yang dikonfigurasi dalam aturan pengalihan sama dengan nama domain tambahan.

Edit nama domain tambahan

Anda dapat mengganti sertifikat yang digunakan oleh nama domain tambahan.

1. Masuk ke Konsol CLB.

2. Pada halaman Instances, klik ID instans, buka tab Listener, temukan pendengar HTTPS, lalu pada kolom Actions, pilih > Manage Additional Certificate.

3. Pada halaman Manage Additional Certificate, temukan nama domain tambahan target, lalu pada kolom Actions, klik Modify.

4. Pada kotak dialog Modify Additional Certificate, pilih sertifikat baru dan klik OK.

Hapus nama domain tambahan

Anda dapat menghapus nama domain tambahan jika tidak lagi diperlukan.

1. Masuk ke Konsol CLB.

2. Pada halaman Instances, klik ID instans.

3. Buka tab Listener, temukan pendengar HTTPS, lalu pada kolom Actions, pilih > Manage Additional Certificate.

4. Pada halaman Manage Additional Certificate, temukan nama domain tambahan target, lalu pada kolom Actions, klik Delete.

5. Pada kotak dialog konfirmasi, klik OK.

FAQ

Topik terkait

• Untuk tutorial tentang cara mengonfigurasi website dengan beberapa nama domain, lihat Konfigurasikan instans CLB untuk melayani beberapa nama domain melalui HTTPS.

• Untuk mengalihkan permintaan dengan nama domain yang sama tetapi path berbeda ke kelompok server backend yang berbeda, lihat Gunakan aturan pengalihan untuk mengalihkan permintaan berdasarkan path dari nama domain yang sama.