Server Load Balancer:HTTPS リスナーの追加

ステップ 1：リスナーの構成

1. Application Load Balancer (ALB) コンソールにログインします。

2. 上部のナビゲーションバーから、インスタンスがデプロイされているリージョンを選択します。

3. 以下のいずれかの方法でリスナー構成ウィザードを開きます。

   • インスタンス ページで対象インスタンスを見つけ、リスナーの作成 をクリックします（操作 列）。

   • インスタンス ページで対象インスタンスの ID をクリックします。リスナー タブで リスナーの作成 をクリックします。

4. リスナーの設定 ページで、以下のパラメーターを設定し、次へ をクリックします。

   パラメーター	説明
   リスナープロトコルの選択	リスナーに使用するプロトコルを選択します。 本例では HTTPS を選択します。
   リスナーポート	リクエストを受信し、バックエンドサーバーに転送するポートを指定します。本例ではポート 443 を使用します。HTTP には通常ポート 80、HTTPS にはポート 443 が使用されます。 有効なポート範囲は 1 ～ 65535 です。 説明 同一 ALB インスタンスでは、同じプロトコルを使用するリスナーのポートは一意である必要があります。HTTP リスナーと HTTPS リスナーは異なるポートを使用する必要があります。
   リスナー名	リスナーの名前を入力します。
   タグ	タグキー および タグ値 を設定します。 タグを追加すると、リスナー タブでタグによるフィルター処理が可能になります。
   詳細設定	変更 をクリックして詳細設定を展開します。
   HTTP/2 の有効化	HTTP/2 を有効にするかどうかを選択します。
   アイドル接続タイムアウト期間	アイドルタイムアウトを指定します。有効値：1 ～ 600 秒。デフォルト値は 15 秒です。クォータの増量を依頼する場合は、クォータセンター にアクセスしてください。 アイドルタイムアウト期間内にリクエストが受信されない場合、ロードバランサーは接続を閉じます。次のリクエストが受信されたときに新しい接続が確立されます。
   接続リクエストタイムアウト	要求タイムアウトを指定します。有効値：1 ～ 600 秒。デフォルト値は 60 秒です。クォータの増量を依頼する場合は、クォータセンター にアクセスしてください。 バックエンドサーバーがタイムアウト期間内に応答しない場合、ロードバランサーは待機を中止し、クライアントに HTTP 504 エラーを返します。
   圧縮
   実際のクライアントソース IP を見つける	ALB が X-Forwarded-For ヘッダーから送信元 IP アドレスを取得できるようにします。この機能を有効にする場合、信頼済み IP リストを設定する必要があります。 信頼済み IP リストが 0.0.0.0/0 に設定されている場合、ALB は X-Forwarded-For リクエストヘッダーの左端の IP アドレスを送信元 IP アドレスとして取得します。 信頼済み IP リストが proxy1 IP;proxy2 IP;.. に設定されている場合、ALB はリストに含まれていない右端から左端に向かって最初の IP アドレスを送信元 IP アドレスとして取得します。 ユースケース： X-Forwarded-For リクエストヘッダーに複数の IP アドレスが含まれている場合（例：X-Forwarded-For: <client-ip-address>, <proxy1>, <proxy2>, …）、左端のアドレスがクライアントの送信元 IP アドレスです。接続元 IP による転送ルールや、ALB の QPS (クライアント IP あたり) 機能を使用する場合、実際のクライアントソース IP を見つける を有効にする必要があります。これにより、ALB は X-Forwarded-For ヘッダーから送信元 IP アドレスを特定できます。詳細については、「転送ルールの追加」をご参照ください。 説明 クライアント IP アドレスの取得は、標準および WAF 対応の ALB インスタンスのみがサポートしています。ベーシック ALB インスタンスはサポートしていません。
   カスタム HTTP ヘッダー	追加するカスタム HTTP ヘッダー項目を選択します： X-Forwarded-For ヘッダー項目を有効化してクライアント IP アドレスを取得するかどうかを選択します。 「X-Forwarded-For を追加してクライアントの IP アドレスを保持する」を選択すると、ALB はバックエンドサーバーにリクエストを転送する前に、リクエストに X-Forwarded-For ヘッダーを追加したり、リクエストから X-Forwarded-For ヘッダーを削除したりできます。 追加（デフォルト） 追加 を選択した場合、ALB はバックエンドサーバーにリクエストを転送する前に、最後のホップの IP アドレスをリクエストの X-Forwarded-For ヘッダーに追加します。リクエストに X-Forwarded-For ヘッダーが含まれていない場合、ALB は最後のホップの IP アドレスを値とする X-Forwarded-For ヘッダーを作成し、リクエストに追加します。X-Forwarded-For ヘッダーには、カンマ（,）で区切られた複数の IP アドレスが含まれる場合があります。 削除 削除 を選択した場合、ALB はバックエンドサーバーにリクエストを転送する前に、リクエストから X-Forwarded-For ヘッダーを削除します。 X-Forwarded-For を追加してクライアント IP アドレスを保持 を選択しなかった場合、ALB はバックエンドサーバーにリクエストを転送する前に、リクエストの X-Forwarded-For ヘッダーに対して何も実行しません。 形式： X-Forwarded-For: <client-ip-address>, <proxy1>, <proxy2>, … X-Forwarded-For ヘッダーの例（バックエンドサーバーが受信するリクエスト）を表示します。 本例では、最後のホップの IP アドレスは 127.0.0.1 です。 リクエストの説明 サンプルリクエスト X-Forwarded-For を追加してクライアント IP アドレスを保持 を選択 X-Forwarded-For を追加してクライアント IP アドレスを保持 を選択しない 追加 削除 ALB が受信したリクエストに X-Forwarded-For ヘッダーが含まれていない。 GET /index.html HTTP/1.1 Host: example.com X-Forwarded-For: 127.0.0.1 X-Forwarded-For ヘッダーは存在しません。 X-Forwarded-For ヘッダーは存在しません。 ALB が受信したリクエストに X-Forwarded-For ヘッダーとクライアント IP アドレスが含まれている。 GET /index.html HTTP/1.1 Host: example.com X-Forwarded-For: 127.0.0.2 X-Forwarded-For: 127.0.0.2, 127.0.0.1 X-Forwarded-For ヘッダーは存在しません。 X-Forwarded-For: 127.0.0.2 ALB が受信したリクエストに X-Forwarded-For ヘッダーと複数のクライアント IP アドレスが含まれている。 GET /index.html HTTP/1.1 Host: example.com X-Forwarded-For: 127.0.0.2, 127.0.0.3 X-Forwarded-For: 127.0.0.2, 127.0.0.3, 127.0.0.1 X-Forwarded-For ヘッダーは存在しません。 X-Forwarded-For: 127.0.0.2, 127.0.0.3 ALB によるクライアント IP アドレスの保持方法の詳細については、「ALB 経由での実際のクライアント IP アドレスの取得」をご参照ください。 SLB-ID ヘッダー項目を追加して、ロードバランサーインスタンスの ID を取得します。 X-Forwarded-Proto ヘッダー項目を追加して、インスタンスのリスナープロトコルを取得します。 X-Forwarded-Port ヘッダー項目を追加して、ロードバランサーインスタンスのリスナー ポートを取得します。 X-Forwarded-Host ヘッダー項目を追加して、クライアントがロードバランサーインスタンスにアクセスするために使用したドメイン名を取得します。 X-Forwarded-Client-srcport ヘッダー項目を追加して、ロードバランサーインスタンスにアクセスするクライアントのポートを取得します。 X-Forwarded-Clientcert-subjectdn ヘッダー項目を追加して、ロードバランサーインスタンスにアクセスするために使用されるクライアント証明書の所有者情報を取得します。 X-Forwarded-Clientcert-issuerdn ヘッダー項目を追加して、ロードバランサーインスタンスにアクセスするために使用されるクライアント証明書の発行者情報を取得します。 X-Forwarded-Clientcert-fingerprint ヘッダー項目を追加して、ロードバランサーインスタンスにアクセスするために使用されるクライアント証明書の指紋を取得します。 X-Forwarded-Clientcert-clientverify ヘッダー項目を追加して、ロードバランサーインスタンスにアクセスするために使用されるクライアント証明書の検証結果を取得します。 説明
   QUIC アップデート	QUIC アップグレードを有効にするかどうかを選択します。この機能を有効にする場合、関連付けられた QUIC リスナー ドロップダウンリストから既存の QUIC リスナーを選択します。 QUIC リスナーを作成していない場合、リスナーの作成 をクリックして作成します。詳細については、「QUIC リスナーの追加」をご参照ください。 ALB は iQUIC および gQUIC をサポートしています。チュートリアルについては、「QUIC プロトコルを使用した音声および動画ストリーミングの高速化」をご参照ください。

ステップ 2：SSL 証明書の構成

HTTPS リスナーを追加するには、トラフィックの暗号化およびサービスの ID 確認を行うための SSL 証明書を構成する必要があります。以下の表に、ALB がサポートする証明書を示します。

1. SSL 証明書の設定 ステップで、サーバー証明書を選択します。

   利用可能なサーバー証明書がない場合、ドロップダウンリストから SSL 証明書の作成 をクリックして Certificate Management Service に移動し、購入 または アップロード できます。

2. オプション：相互認証の有効化 をオンにし、CA 証明書のソースを選択します。

   • CA 証明書のソースとして Alibaba Cloud を選択し、デフォルトの CA 証明書 ドロップダウンリストから CA 証明書を選択します。

     利用可能な CA 証明書がない場合、ドロップダウンリストから CA 証明書の購入 をクリックして、新しい CA 証明書を作成 できます。

   • CA 証明書のソースとして サードバーティ を選択し、デフォルトの CA 証明書 ドロップダウンリストから CA 証明書を選択します。

     自己署名 CA 証明書が利用できない場合、ドロップダウンリストから 自己署名 CA 証明書のアップロード をクリックします。証明書アプリケーションリポジトリ ページで、データソースとして CA 証明書のアップロード を指定してリポジトリを作成します。その後、アップロード して、自己署名ルート CA または自己署名中間 CA 証明書をリポジトリに登録します。

   説明

   • 相互認証は、標準および WAF 対応の ALB インスタンスのみがサポートしています。ベーシック ALB インスタンスはサポートしていません。

   • 相互認証を有効化した後、後で無効化する必要がある場合は、以下の手順に従います：

     1. インスタンス ページで、対象インスタンスの ID をクリックします。

     2. リスナー タブで、対象 HTTPS リスナーの ID をクリックします。

     3. リスナーの詳細 タブで、SSL 証明書 セクションの相互認証スイッチをオフにします。

3. TLS セキュリティポリシー を選択し、次へ をクリックします。

   TLS セキュリティポリシーが利用できない場合、ドロップダウンリストから TLS セキュリティポリシーの作成 をクリックします。

   TLS セキュリティポリシー には、HTTPS でサポートされる TLS プロトコルのバージョンおよび暗号スイートが含まれます。

ステップ 3：サーバーグループの選択

ウィザードの サーバーグループ ステップで、サーバーグループを選択し、バックエンドサーバーの情報を確認した後、次へ をクリックします。

ステップ 4：構成の確認

確定 ページで構成内容を確認し、送信 をクリックします。

X-Forwarded-For ヘッダーのなりすましをどのようにして防止できますか？

リスナーは TLS 1.0、TLS 1.1、TLS 1.2、TLS 1.3 をサポートしています。詳細については、「TLS セキュリティポリシー」をご参照ください。

クライアントプロトコルバージョンの取得

はい。

バックエンドアクセス用の HTTP バージョン

• クライアントリクエストが HTTP 1.1 または HTTP 2.0 を使用する場合、レイヤー 7 リスナーはバックエンドサーバーへのアクセスに HTTP 1.1 を使用します。

• クライアントリクエストが HTTP 1.1 または HTTP 2.0 以外のプロトコルを使用する場合、レイヤー 7 リスナーはバックエンドサーバーへのアクセスに HTTP 1.0 を使用します。

ワイルドカード証明書のルール

HTTPS セッションチケットの TTL はどれくらいですか？

300 秒です。

X-Forwarded-For ヘッダーのなりすましを防止するにはどうすればよいですか？

• 別のアップストリーム製品のヘッダー項目を指定して、実際のクライアント IP を記録します。

  たとえば、Client → CDN → WAF → SLB → ECS のアーキテクチャの場合：CDN は Ali-Cdn-Real-Ip HTTP ヘッダーでクライアントの実際の IP を転送します。WAF を構成する際に、クライアント IP 検出方法を「ヘッダー項目の指定」に設定し、Ali-Cdn-Real-Ip を使用します。その後、バックエンドの Nginx サーバーで、実際のクライアント IP のログ変数を $http_Ali_Cdn_Real_Ip に設定します。

• レイヤー 4 リスナー（NLB または CLB）に切り替えます：レイヤー 4 リスナーを使用する場合、バックエンドサーバーは自動的に実際のクライアント IP を取得できます。詳細については、「レイヤー 4 リスナーを有効化してクライアント IP アドレスを保持し、バックエンドサーバーに渡す」をご参照ください。

WSS のサポート

デフォルトで、ALB HTTPS リスナーは WebSocket Secure（WSS）プロトコルをサポートしています。チュートリアルについては、「WebSocket を使用したリアルタイムメッセージングの有効化」をご参照ください。