Server Load Balancer：ALB配置國密HTTPS實現安全通訊

1. 建立ECS執行個體並部署服務

1. 參考下表配置，建立ECS執行個體。

   • 執行個體名稱：ECS01

   • 地區：華東2（上海）

   • VPC：VPC1

   • 交換器：VSW1

   • 鏡像：Alibaba Cloud Linux 3.2104 LTS 64位

2. 遠端連線ECS01。執行以下命令，部署Nginx服務。

   sudo yum install -y nginx
   sudo systemctl start nginx
   echo "Hello from ECS backend" | sudo tee /usr/share/nginx/html/index.html

3. 在ECS執行個體所屬安全性群組添加入方向規則，允許存取請求流量。請確保規則具備足夠高的優先順序。

   • 授權策略：允許

   • 協議：自訂TCP

   • 訪問來源：選擇IPv4後，選擇本VPC網段。

   • 訪問目的(本執行個體)：選擇連接埠後，選擇HTTP（80）。

相關操作，可參考自訂購買執行個體、ECS遠端連線操作指南、配置安全性群組規則。

2.建立ALB執行個體

1. 登入ALB控制台，選擇華東2（上海）地區，單擊建立應用型負載平衡。

2. 在購買頁完成以下配置，單擊立即購買。

   • 執行個體網路類型：選擇公網。

   • VPC：選擇VPC1。

   • 可用性區域：勾選上海 可用性區域E和上海 可用性區域F後分別選擇VSW1和VSW2，並自動分配公網IP。

   • 協議版本：選擇IPv4。

   • 功能版本（執行個體費）：選擇標準版。

3. 在確認訂單頁面確認執行個體配置詳情，單擊立即開通。

3.建立伺服器組並添加後端伺服器

1. 在伺服器組控制台，確認地區為華東2（上海），單擊建立伺服器組。

2. 參考以下資訊完成伺服器組配置，單擊建立。

   • 伺服器群組類型：選擇伺服器類型。

   • 伺服器組名稱：本文輸入sg-nginx。

   • VPC：選擇VPC1。

   • 選擇後端協議：預設選擇HTTP。

3. 單擊伺服器組建立成功彈窗中的添加後端伺服器。選中ECS01，單擊下一步。在配置連接埠和權重步驟中，將伺服器的通信埠設定為80，單擊確定完成添加。

4.建立包含國密加密套件的TLS安全性原則

使用國密認證時，必須配合包含國密加密套件的自訂TLS安全性原則。系統預設策略不包含國密加密套件。

1. 在ALB控制台左側導覽列單擊TLS安全性原則，單擊自訂策略頁簽下的建立自訂策略。

2. 在建立面板中，輸入策略名稱gm-tls-policy，選擇最低版本為TLS 1.0及以上，在選擇密碼編譯演算法套件中將ECC-SM2-WITH-SM4-SM3移至右側已選框，單擊建立。

ECC-SM2-WITH-SM4-SM3是ECC-SM2-SM4-CBC-SM3和ECC-SM2-SM4-GCM-SM3的別名。

5.建立HTTPS監聽並配置國密認證

1. 在ALB控制台，單擊目標執行個體ID進入執行個體詳情頁。在監聽頁簽單擊建立監聽。

2. 在配置監聽步驟，選擇監聽協議為HTTPS，監聽通信埠填寫443，完成後單擊下一步。

3. 在配置SSL認證步驟，選擇已準備的國密認證（認證列表顯示演算法類型，SM2即國密認證），TLS安全性原則選擇gm-tls-policy，單擊下一步。

4. 在選擇伺服器組步驟選擇伺服器組sg-nginx，完成後單擊下一步。

5. 在組態稽核步驟，確認配置並單擊提交。

配置國密認證後，必須選擇包含國密加密套件的自訂TLS安全性原則，否則用戶端將無法正常訪問。

6.佈建網域名解析

將自有網域名稱通過CNAME解析指向ALB執行個體的DNS名稱，用戶端通過自有網域名稱訪問ALB。

本文以阿里雲Alibaba Cloud DNS為例，對於非阿里雲註冊網域名稱，需先將網域名稱添加到雲解析控制台。

1. 在ALB控制台，複製目標執行個體的DNS 名稱。

2. 登入網域名稱解析控制台，在目標網域名稱的操作列單擊解析设置。在解析设置頁面單擊添加记录。

3. 參考以下資訊添加CNAME記錄，完成後單擊確定。

   • 记录类型：選擇CNAME。

   • 主机记录：輸入欄位名首碼如sm2。如使用者自訂網域名為example.com，則訪問ALB的網域名稱為sm2.example.com。

   • 解析请求来源和TTL时间：保持預設。

   • 记录值：輸入ALB執行個體的DNS名稱。

4. 在彈出的解析变更确认對話方塊確認解析資訊，單擊確定。

7.驗證測試

• sm2.example.com為樣本網域名稱，實際測試時請替換為步驟6中配置的真實網域名稱，需確保網域名稱解析已生效。

• 訪問使用國密認證的網站需要支援國密演算法的特殊瀏覽器，本文使用零信瀏覽器。

使用限制

• 僅ALB升級執行個體支援國密認證，升級前的ALB執行個體不支援。可通過ALB執行個體複製將存量ALB執行個體業務手動遷移至ALB升級執行個體。

• 僅標準版和WAF增強版ALB執行個體支援國密認證，基礎版、擴充版不支援。

• 國密認證不支援雙向認證（CA認證不支援SM2類型）。

計費說明

• ALB執行個體：ALB支援隨用隨付（後付費）和資源套件（預付費）兩種付費方式，詳情參考ALB計費概述。

• ECS執行個體：詳見ECS計費概述。若出於測試目的建立ECS，建議建立低規格的隨用隨付執行個體並及時釋放。

• 網域名稱和DNS解析費用：除了需要支付網域名稱供應商的網域名稱費用外，在阿里雲配置DNS解析需要支付公網權威解析費用。

常見問題

相關文檔

• 管理憑證：瞭解ALB支援的認證類型、認證匹配邏輯等資訊。

• 添加HTTPS監聽：瞭解HTTPS監聽的完整配置參數。

• TLS安全性原則：瞭解系統預設策略和自訂策略的相關資訊。