Server Load Balancer：添加HTTPS監聽

步驟一：配置監聽

1. 登入應用型負載平衡ALB控制台。

2. 在頂部功能表列，選擇執行個體所屬的地區。

3. 選擇以下一種方法，開啟監聽設定精靈。

   • 在執行個體頁面，找到目標執行個體，在操作列單擊建立監聽。

   • 在執行個體頁面，單擊目標執行個體ID。在監聽頁簽，單擊建立監聽。

4. 在配置監聽設定精靈，完成以下配置，然後單擊下一步。

   監聽配置	說明
   選擇監聽協議	選擇監聽的協議類型。 本樣本選擇HTTPS。
   監聽連接埠	輸入用來接收請求並向後端伺服器進行請求轉寄的監聽連接埠，本樣本輸入443。通常HTTP協議使用80連接埠，HTTPS協議使用443連接埠。 連接埠範圍為1~65535。 說明 同一個ALB執行個體內，相同協議的監聽連接埠不能重複，且HTTP和HTTPS監聽連接埠互不重複。
   監聽名稱	輸入監聽名稱。
   標籤	設定標籤鍵和標籤值。 設定標籤後，您可以在監聽頁簽使用標籤篩選監聽。
   高級配置	單擊修改展開進階配置。
   啟用HTTP2.0	選擇是否開啟HTTP 2.0。
   串連空閑逾時時間	指定串連空閑逾時時間，取值範圍為1~600秒，預設為15秒。如需提升配額，請前往配額中心申請。 在逾時時間內一直沒有訪問請求，負載平衡會暫時中斷當前串連，直到下一次請求來臨時重建立立新的串連。
   串連請求逾時時間	指定請求逾時時間，取值範圍為1~600秒，預設為60秒。如需提升配額，請前往配額中心申請。 在逾時時間內後端伺服器一直沒有響應，負載平衡將放棄等待，給用戶端返回HTTP 504錯誤碼。
   數據壓縮	開啟該配置會對特定檔案類型進行壓縮，關閉該配置則不會對任何檔案類型進行壓縮。 目前Brotli支援壓縮所有類型。 Gzip支援壓縮的類型包括：text/xml、text/plain、text/css、application/javascript、application/x-javascript、application/rss+xml、application/atom+xml、application/xml和application/json。 說明 僅當響應內容的 Content-Length 值超過1024位元組時，才會觸發資料壓縮。 當用戶端請求同時支援Brotli和Gzip壓縮演算法時，ALB會優先選擇更高效的壓縮演算法Brotli。 當用戶端僅支援Gzip壓縮演算法時，若檔案類型為Gzip不支援的類型，則ALB不會進行壓縮。
   尋找真實客戶端源IP	允許ALB從X-Forwarded-For頭欄位中尋找真實用戶端IP開關。開啟後，您需要設定可信IP列表。 可信IP列表設定為0.0.0.0/0：表示擷取X-Forwarded-For請求標題中最左邊的地址，即真實用戶端源IP。 可信IP列表設定為proxy1 IP;proxy2 IP;..：表示從右往左擷取第一個不在這個列表裡面的值，並將其作為真實用戶端源IP。 使用情境說明： 當X-Forwarded-For請求標題中包含多個IP地址時，例如X-Forwarded-For: <client-ip-address>, <proxy1>, <proxy2>, …，最左邊的地址是真實用戶端IP，如果您需要使用ALB轉寄規則中基於SourceIp匹配和QPS(基於客戶端源IP限速)功能，您需要開啟尋找真實客戶端源IP開關，以便ALB從X-Forwarded-For頭欄位中尋找真實用戶端源IP。更多資訊，請參見添加轉寄規則。 說明 僅標準版、WAF增強版ALB執行個體支援開啟尋找真實用戶端源IP，基礎版ALB執行個體不支援。
   附加HTTP頭欄位	選擇您要添加的自訂HTTP頭欄位： 選擇是否開啟X-Forwarded-For頭欄位來擷取來訪者用戶端IP地址。 開啟X-Forwarded-For頭欄位： ALB將請求發送至後端伺服器之前附加、刪除請求中的X-Forwarded-For頭欄位。 附加（預設） 預設情況下，ALB會將用戶端IP地址儲存到X-Forwarded-For頭欄位中，並將該頭欄位資訊發送至後端伺服器。如果原始請求中未包含X-Forwarded-For頭欄位，ALB會建立以用戶端IP地址為請求值的X-Forwarded-For頭欄位。否則，ALB會將用戶端IP地址附加到現有X-Forwarded-For頭欄位中，然後將頭欄位發送至後端伺服器。X-Forwarded-For 要求標頭欄位可能包含多個以逗號分隔的 IP 位址。 刪除 ALB將請求發送至後端伺服器之前，會刪除請求中的X-Forwarded-For頭欄位。 關閉X-Forwarded-For頭欄位： ALB將請求發送至後端伺服器之前，不會對請求中的X-Forwarded-For頭欄位進行任何修改。 欄位格式： X-Forwarded-For: <client-ip-address>, <proxy1>, <proxy2>, … 點擊查看樣本：當您選擇開啟附加、刪除或關閉時，後端伺服器收到的X-Forwarded-For頭欄位 本樣本中，最後一跳為127.0.0.1。 請求描述 請求樣本 開啟X-Forwarded-For頭欄位 關閉X-Forwarded-For頭欄位 附加 刪除 發送請求時沒有X-Forwarded-For頭欄位 GET /index.html HTTP/1.1 Host: example.com X-Forwarded-For: 127.0.0.1 無 無 發送請求時包含一個X-Forwarded-For頭欄位和一個用戶端IP地址 GET /index.html HTTP/1.1 Host: example.com X-Forwarded-For: 127.0.0.2 X-Forwarded-For: 127.0.0.2, 127.0.0.1 無 X-Forwarded-For: 127.0.0.2 發送請求時包含一個X-Forwarded-For頭欄位和多個用戶端IP地址 GET /index.html HTTP/1.1 Host: example.com X-Forwarded-For: 127.0.0.2, 127.0.0.3 X-Forwarded-For: 127.0.0.2, 127.0.0.3, 127.0.0.1 無 X-Forwarded-For: 127.0.0.2, 127.0.0.3 ALB如何擷取用戶端真實IP教程，請參見後端伺服器通過ALB擷取用戶端真實IP。 添加SLB-ID頭欄位擷取Server Load Balancer執行個體的ID。 添加X-Forwarded-Proto頭欄位擷取執行個體的監聽協議。 添加X-Forwarded-Port頭欄位擷取Server Load Balancer執行個體的監聽連接埠。 添加X-Forwarded-Host頭欄位擷取訪問Server Load Balancer執行個體用戶端的網域名稱。 添加X-Forwarded-Client-srcport頭欄位擷取訪問Server Load Balancer執行個體用戶端的連接埠。 添加X-Forwarded-Clientcert-subjectdn頭欄位擷取訪問Server Load Balancer執行個體用戶端認證的所有者資訊。 添加X-Forwarded-Clientcert-issuerdn頭欄位擷取訪問Server Load Balancer執行個體用戶端認證的所發行者資訊。 添加X-Forwarded-Clientcert-fingerprint頭欄位擷取訪問Server Load Balancer執行個體用戶端認證的指紋取值。 添加X-Forwarded-Clientcert-clientverify頭欄位擷取訪問Server Load Balancer執行個體用戶端認證的校正結果。 說明 建議您的後端伺服器在擷取HTTP頭欄位時，遵循HTTP協議規範，不區分HTTP頭欄位索引值的大小寫。 ALB向後端伺服器傳遞X-Forwarded-For附加頭欄位的首字母始終保持大寫。 針對其他附加HTTP頭欄位，如果用戶端請求中攜帶某個頭欄位，ALB會按照用戶端請求中頭欄位格式向後端伺服器傳遞。否則，ALB會根據上表所示附加頭欄位的欄位名格式向後端伺服器傳遞。 開啟X-Forwarded-Clientcert-subjectdn、X-Forwarded-Clientcert-issuerdn、X-Forwarded-Clientcert-fingerprint和X-Forwarded-Clientcert-clientverify時，不允許將自訂的HTTP頭名稱設定為以下欄位：slb-id、slb-ip、x-forwarded-for、x-forwarded-proto、x-forwarded-eip、x-forwarded-port、x-forwarded-client-srcport、x-forwarded-host、connection、upgrade、content-length、transfer-encoding、keep-alive、te、host、cookie、remoteip、authority。 用戶端認證相關附加HTTP頭欄位說明 下列附加HTTP頭欄位僅當HTTPS監聽啟用雙向認證時生效。 X-Forwarded-Clientcert-subjectdn 作用：傳遞用戶端認證的主題（Subject）資訊。 內容：認證所有者的身份資訊。 格式樣本：X-Forwarded-Clientcert-Subjectdn: CN=client.example.com,O=Example Corp,C=US 包含資訊： CN (Common Name)：通用名稱 O (Organization)：組織名稱 OU (Organizational Unit)：組織單位 C (Country)：國家代碼 ST (State)：州/省 L (Locality)：城市 X-Forwarded-Clientcert-issuerdn 作用：傳遞用戶端認證的頒發者（Issuer）資訊。 內容：簽發該認證的 CA 機構資訊。 格式樣本：X-Forwarded-Clientcert-Issuerdn: CN=Example CA,O=Example Corp,C=US 用途：驗證認證是否由可信 CA 簽發。 X-Forwarded-Clientcert-fingerprint 作用：傳遞用戶端認證的數位指紋。 內容：認證指紋，即通過雜湊演算法（如 SHA-1、SHA-256）對整個數位憑證內容進行計算得出的一個固定長度的雜湊值，用作認證的唯一識別碼。 格式樣本：X-Forwarded-Clientcert-Fingerprint: SHA256=1234567890abcdef... 用途：唯一標識認證，用於認證驗證和審計。 X-Forwarded-Clientcert-clientverify 作用：傳遞用戶端認證的驗證結果。 內容：認證驗證狀態。 可能的值： SUCCESS：認證驗證成功。 FAILED：認證驗證失敗。 NONE：未提供用戶端認證。 EXPIRED：認證已到期。 REVOKED：認證已被吊銷。
   開啟QUIC升級	選擇是否開啟QUIC升級，如果開啟QUIC升級，請在關聯的QUIC監聽下拉式清單中選擇一個已建立的QUIC監聽。 如果您未建立QUIC監聽，單擊建立監聽，建立一個QUIC監聽。具體操作，請參見添加QUIC監聽。 ALB支援iQUIC和gQUIC，具體使用教程請參見使用QUIC協議提升音視頻業務訪問速度。

步驟二：配置SSL認證

添加HTTPS監聽，您需要配置SSL認證以確保您的業務受到加密保護並得到權威機構的身份認證。下表列出了ALB支援配置的認證及認證說明。

1. 在設定SSL憑證設定精靈，選擇一個伺服器憑證。

   如果沒有可選的伺服器憑證，您可以在下拉框中單擊建立SSL認證進入認證中心，在認證中心購買或上傳伺服器憑證。

2. 可選：開啟啟用雙向認證，選擇CA認證來源。

   • 選擇CA認證來源為阿里雲簽發，在選擇預設CA認證下拉框中選擇一個CA認證。

     如果沒有可選的CA認證，您可以在下拉框中單擊購買CA認證，以建立新CA認證。

   • 選擇CA認證來源為非阿里雲簽發，在選擇預設CA認證下拉框中選擇一個CA認證。

     如果沒有可選的自簽名CA認證，您可以在下拉框中單擊上傳自簽CA認證，在認證應用倉庫頁面，建立資料來源為上傳CA認證的倉庫，然後通過認證應用倉庫上傳自簽名根CA或自簽名子根CA認證。

   說明

   • 僅標準版和WAF增強版的ALB執行個體支援雙向認證，基礎版ALB執行個體不支援雙向認證。

   • 開啟雙向認證後，如果您後續需要關閉雙向認證，請參考以下步驟。

     1. 在執行個體頁面，單擊目標執行個體ID。

     2. 在監聽頁簽，單擊目標HTTPS協議監聽ID。

     3. 在監聽詳情頁簽，在SSL 憑證地區關閉雙向認證開關。

3. 選擇TLS安全性原則，然後單擊下一步。

   如果沒有可選的TLS安全性原則，您可以在下拉框中單擊創建 TLS 安全性原則。

   TLS安全性原則包含HTTPS可選的TLS協議版本和配套的密碼編譯演算法套件。

步驟三：選擇伺服器組

在選擇伺服器組設定精靈，選擇伺服器組，並查看後端伺服器資訊，然後單擊下一步。

步驟四：組態稽核

在設定審核頁面，確認配置資訊，單擊提交。

HTTPS支援哪些SSL協議版本？

TLS 1.0、TLS 1.1、TLS 1.2以及TLS 1.3版本，更多資訊，請參見TLS安全性原則。

後端伺服器能否擷取用戶端訪問HTTPS監聽的協議版本？

可以。

HTTPS監聽訪問後端伺服器的HTTP協議版本是什嗎？

• 用戶端請求的協議為HTTP 1.1或者HTTP 2.0版本時，七層監聽訪問後端伺服器的HTTP協議版本是HTTP 1.1。

• 用戶端請求的協議為除HTTP 1.1和HTTP 2.0以外其他版本時，七層監聽訪問後端伺服器的HTTP協議版本是HTTP 1.0。

ALB監聽認證為萬用字元認證（泛網域名稱認證）時，需滿足哪些規則？

HTTPS session ticket的保持時間是多久？

HTTPS session ticket保持時間為300秒。

ALB是否支援WebSocket Secure（WSS）協議？

ALB的HTTPS監聽預設支援WebSocket Secure（WSS）協議，詳見實踐教程ALB使用WebSocket協議實現資訊即時推送。