Server Load Balancer:SM HTTPS Secure Communication

1. Crie uma instância ECS e implante um serviço

1. Crie uma instância ECS com as seguintes configurações:

   • Name: ECS01

   • Region: China (Shanghai)

   • VPC: VPC1

   • vSwitch: VSW1

   • Image: Alibaba Cloud Linux 3.2104 LTS 64-bit

2. Conecte-se à instância ECS01 e execute os comandos abaixo para implantar um serviço Nginx.

   sudo yum install -y nginx
   sudo systemctl start nginx
   echo "Hello from ECS backend" | sudo tee /usr/share/nginx/html/index.html

3. Adicione uma regra de entrada de alta prioridade ao grupo de segurança da instância ECS para permitir tráfego de entrada:

   • Policy: Allow

   • Protocol: Custom TCP

   • Source: Selecione IPv4 e, em seguida, selecione This VPC CIDR block.

   • Destination (This Instance): Selecione Port e, em seguida, selecione HTTP (80).

Criar uma instância usando o assistente , Métodos de conexão , Adicionar regras de grupo de segurança .

2. Crie uma instância ALB

1. Acesse o console do ALB, selecione a região China (Shanghai) e clique em Create ALB.

2. Na página de compra, especifique os parâmetros a seguir e clique em Create Now:

   • Instance Network Type: Selecione Internet.

   • VPC: Selecione VPC1.

   • Zone: Selecione Shanghai Zone E com VSW1 e Shanghai Zone F com VSW2. Ative Assign EIP.

   • IP Version: Selecione IPv4.

   • Edition (Instance Fee): Selecione Standard.

3. Na página Confirm Order, verifique as configurações da instância e clique em Activate Now.

3. Crie um grupo de servidores e adicione servidores

1. No console do Server Group, confirme se a região China (Shanghai) está selecionada e clique em Create Server Group.

2. Configure o grupo de servidores conforme descrito abaixo e clique em Create:

   • Server Group Type: Selecione Server.

   • Server Group Name: Insira sg-nginx.

   • VPC: Selecione VPC1.

   • Backend Server Protocol: Mantenha o valor padrão HTTP.

3. Na caixa de diálogo The server group is created, clique em Add Backend Servers. Selecione ECS01 e clique em Next. Na etapa Ports/Weights, defina a Port do servidor como 80 e clique em OK.

4. Crie uma política de segurança TLS personalizada

Certificados SM2 exigem uma política de segurança TLS personalizada com um conjunto de cifras SM associado ao listener, pois as políticas de segurança do sistema não incluem esses conjuntos.

1. No painel de navegação à esquerda do console ALB, clique em TLS Security Policies. Na aba Custom Policy, clique em Create Custom Policy.

2. No painel exibido, defina o Name da política como gm-tls-policy e a Minimum Version como TLS 1.0 or Later. Na seção Cipher Suite, mova ECC-SM2-WITH-SM4-SM3 para a caixa de seleção e clique em Create.

ECC-SM2-WITH-SM4-SM3 é um alias para ECC-SM2-SM4-CBC-SM3 e ECC-SM2-SM4-GCM-SM3 .

5. Crie um listener HTTPS com um certificado SM2

1. No console do ALB, clique no ID da instância de destino para acessar a página Instance Details. Na aba Listener, clique em Create Listener.

2. Na etapa Configure Listener, defina o Listener Protocol como HTTPS e a Listener Port como 443. Em seguida, clique em Next.

3. Na etapa SSL Certificate, selecione seu certificado SM2. A lista de certificados exibe o tipo de algoritmo, onde SM2 indica um certificado SM2. Selecione gm-tls-policy em TLS Security Policies e clique em Next.

4. Na etapa Server Group, selecione o grupo de servidores sg-nginx e clique em Next.

5. Na etapa Configuration Review, confirme as configurações e clique em Submit.

Após configurar um certificado SM2, selecione uma política de segurança TLS personalizada que inclua um conjunto de cifras SM. Caso contrário, os clientes não conseguirão acessar seu serviço.

6. Configure a resolução de nome de domínio

Adicione um registro CNAME para mapear seu nome de domínio personalizado ao nome DNS da instância ALB.

Este exemplo utiliza o Alibaba Cloud DNS. Se o seu nome de domínio não estiver registrado no Alibaba Cloud, adicione o nome de domínio ao console do Alibaba Cloud DNS primeiro.

1. No console do ALB, copie o Domain Name da instância de destino.

2. Acesse o console do Alibaba Cloud DNS. Localize o nome de domínio de destino e clique em Settings na coluna Actions. Na página Settings, clique em Add Record.

3. Adicione um registro CNAME com as informações a seguir e clique em OK:

   • Record Type: Selecione CNAME.

   • Hostname: Insira um prefixo, como sm2. Por exemplo, se o seu nome de domínio personalizado for example.com, o domínio usado para acessar a instância ALB será sm2.example.com.

   • Query Source e TTL: Mantenha os valores padrão.

   • Record Value: Insira o nome DNS da instância ALB.

4. Na caixa de diálogo Change Resource Record Confirmation, confirme as informações do registro DNS e clique em OK.

7. Verifique a configuração

• Substitua sm2.example.com pelo nome de domínio configurado na Etapa 6 e certifique-se de que o registro DNS entrou em vigor.

• O acesso a sites protegidos por SM2 requer um navegador compatível com SM. Este exemplo utiliza o navegador ZOS.

Limitações

• Apenas instâncias ALB atualizadas suportam certificados SM2. Utilize a clonagem de instância ALB para migrar serviços de uma instância pré-atualização.

• Somente instâncias ALB Standard e com WAF ativado suportam certificados SM2. As edições Basic e Advanced não oferecem suporte a esse recurso.

• Certificados SM2 não suportam autenticação mútua nem certificados CA SM2.

Faturamento

• Instância ALB: O ALB oferece faturamento por pagamento conforme o uso e assinatura. Consulte a visão geral do faturamento do ALB.

• Instância ECS: Consulte a visão geral do faturamento do ECS. Para testes, crie uma instância de baixa especificação com pagamento conforme o uso e libere-a posteriormente para evitar cobranças desnecessárias.

• Taxas de nome de domínio e resolução DNS: Além das taxas do provedor de domínio, o Alibaba Cloud DNS cobra pela resolução DNS autoritativa pública.

Perguntas frequentes

Referências

• Gerenciar certificados: Tipos de certificados e lógica de correspondência para ALB.

• Adicionar um listener HTTPS: Parâmetros de configuração do listener HTTPS.

• Políticas de segurança TLS: Políticas de segurança do sistema e personalizadas.