TLS安全性原則

工作原理

TLS安全性原則配置在CLB側，用於定義其在TLS協商中支援的TLS協議版本和密碼編譯演算法套件。在握手過程中，用戶端通過Client Hello發送支援的協議版本和加密套件列表，CLB根據策略從列表中選擇雙方都支援的協議版本和加密套件組合并以Server Hello響應，後續步驟（如金鑰交換、工作階段金鑰產生）均基於此方案進行。

各類資訊安全標準可能對CLB的TLS安全性原則提出要求，使用者可展開下表查看各策略支援的TLS協議版本和密碼編譯演算法套件，使用者可按需配置。CLB不支援自訂TLS安全性原則，如有需求，可使用ALB或NLB。

對於面向公網且無特殊相容性要求的應用，建議使用 tls_cipher_policy_1_2 及以上策略。

策略詳情

策略名稱稱		tls_cipher_policy_1_0	tls_cipher_policy_1_1	tls_cipher_policy_1_2	tls_cipher_policy_1_2_strict	tls_cipher_policy_1_2_strict_with_1_3
TLS協議版本	v1.0	支援	不支援	不支援	不支援	不支援
	v1.1	支援	支援	不支援	不支援	不支援
	v1.2	支援	支援	支援	支援	支援
	v1.3	不支援	不支援	不支援	不支援	支援
密碼編譯演算法套件	ECDHE-RSA-AES128-GCM-SHA256	支援	支援	支援	支援	支援
	ECDHE-RSA-AES256-GCM-SHA384	支援	支援	支援	支援	支援
	ECDHE-RSA-AES128-SHA256	支援	支援	支援	支援	支援
	ECDHE-RSA-AES256-SHA384	支援	支援	支援	支援	支援
	AES128-GCM-SHA256	支援	支援	支援	不支援	不支援
	AES256-GCM-SHA384	支援	支援	支援	不支援	不支援
	AES128-SHA256	支援	支援	支援	不支援	不支援
	AES256-SHA256	支援	支援	支援	不支援	不支援
	ECDHE-RSA-AES128-SHA	支援	支援	支援	支援	支援
	ECDHE-RSA-AES256-SHA	支援	支援	支援	支援	支援
	AES128-SHA	支援	支援	支援	不支援	不支援
	AES256-SHA	支援	支援	支援	不支援	不支援
	DES-CBC3-SHA	支援	支援	支援	不支援	不支援
	TLS_AES_256_GCM_SHA384	不支援	不支援	不支援	不支援	支援
	TLS_CHACHA20_POLY1305_SHA256	不支援	不支援	不支援	不支援	支援
	TLS_AES_128_CCM_SHA256	不支援	不支援	不支援	不支援	支援
	TLS_AES_128_CCM_8_SHA256	不支援	不支援	不支援	不支援	支援
	ECDHE-ECDSA-AES128-GCM-SHA256	不支援	不支援	不支援	不支援	支援
	ECDHE-ECDSA-AES256-GCM-SHA384	不支援	不支援	不支援	不支援	支援
	ECDHE-ECDSA-AES128-SHA256	不支援	不支援	不支援	不支援	支援
	ECDHE-ECDSA-AES256-SHA384	不支援	不支援	不支援	不支援	支援
	ECDHE-ECDSA-AES128-SHA	不支援	不支援	不支援	不支援	支援
	ECDHE-ECDSA-AES256-SHA	不支援	不支援	不支援	不支援	支援

為監聽配置TLS安全性原則

控制台

添加HTTPS監聽時，在SSL認證頁簽，單擊進階配置後面的編輯，在展開項中選擇TLS安全性原則。

修改TLS安全性原則：在執行個體詳情頁的監聽頁簽，單擊目標HTTPS監聽名稱開啟監聽詳情對話方塊，在SSL認證地區修改TLS安全性原則。

API

調用CreateLoadBalancerHTTPSListener建立HTTPS監聽或調用SetLoadBalancerHTTPSListenerAttribute修改HTTPS監聽的配置時，TLSCipherPolicy欄位傳入TLS安全性原則。

計費說明

TLS安全性原則本身不產生任何費用。購買和使用CLB執行個體將產生費用。

常見問題

CLB支援配置自訂TLS安全性原則嗎？

不支援。CLB目前僅支援預設的TLS安全性原則。

如有自訂TLS安全性原則的需求，推薦使用以下產品：

應用型負載平衡ALB：配置HTTPS監聽時，支援自訂TLS安全性原則。
網路型負載平衡NLB：配置TCPSSL監聽時，支援自訂TLS安全性原則。

應用於生產環境

TLS協議版本：如應用無特殊相容性要求，建議使用TLS 1.2和TLS 1.3保障安全性。
變更復原：調整TLS安全性原則後，若出現異常，可立即通過修改監聽配置復原。建議在業務低峰期進行變更。
金鑰交換演算法：如應用無特殊相容性要求，生產環境不建議使用以下RSA金鑰交換演算法套件：AES128-GCM-SHA256、AES256-GCM-SHA384、AES128-SHA256、AES256-SHA256、AES128-SHA、AES256-SHA、DES-CBC3-SHA。此類套件不支援前向保密（PFS），且存在側通道攻擊風險。建議優先選擇包含ECDHE或DHE金鑰交換的套件。

TLS密碼編譯演算法套件名稱對照表

下表提供了各密碼編譯演算法套件在OpenSSL格式、IANA標準格式和十六進位之間的對照關係。

對照表詳情

OpenSSL格式	IANA標準格式	十六進位
ECDHE-ECDSA-AES128-GCM-SHA256	TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256	0xC02B
ECDHE-ECDSA-AES256-GCM-SHA384	TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384	0xC02C
ECDHE-ECDSA-AES128-SHA256	TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256	0xC023
ECDHE-ECDSA-AES256-SHA384	TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384	0xC024
ECDHE-RSA-AES128-GCM-SHA256	TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256	0xC02F
ECDHE-RSA-AES256-GCM-SHA384	TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384	0xC030
ECDHE-RSA-AES128-SHA256	TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256	0xC027
ECDHE-RSA-AES256-SHA384	TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384	0xC028
AES128-GCM-SHA256	TLS_RSA_WITH_AES_128_GCM_SHA256	0x009C
AES256-GCM-SHA384	TLS_RSA_WITH_AES_256_GCM_SHA384	0x009D
AES128-SHA256	TLS_RSA_WITH_AES_128_CBC_SHA256	0x003C
AES256-SHA256	TLS_RSA_WITH_AES_256_CBC_SHA256	0x003D
ECDHE-ECDSA-AES128-SHA	TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA	0xC009
ECDHE-ECDSA-AES256-SHA	TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA	0xC00A
ECDHE-RSA-AES128-SHA	TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA	0xC013
ECDHE-RSA-AES256-SHA	TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA	0xC014
AES128-SHA	TLS_RSA_WITH_AES_128_CBC_SHA	0x002F
AES256-SHA	TLS_RSA_WITH_AES_256_CBC_SHA	0x0035
DES-CBC3-SHA	TLS_RSA_WITH_3DES_EDE_CBC_SHA	0x000A
TLS_AES_256_GCM_SHA384	TLS_AES_256_GCM_SHA384	0x1302
TLS_CHACHA20_POLY1305_SHA256	TLS_CHACHA20_POLY1305_SHA256	0x1303
TLS_AES_128_CCM_SHA256	TLS_AES_128_CCM_SHA256	0x1304
TLS_AES_128_CCM_8_SHA256	TLS_AES_128_CCM_8_SHA256	0x1305