Server Load Balancer:Deploy HTTPS services with CLB (mutual authentication)

Yordam

Bu örnekte, istemci sertifikasını imzalamak için kendinden imzalı bir sertifika yetkilisi (CA) sertifikası kullanılmaktadır. HTTPS dinleyicisinde karşılıklı kimlik doğrulamayı yapılandırmak için aşağıdaki adımları uygulayın.

Önkoşullar

• Bir CLB örneği oluşturdunuz.

• Her biri farklı bir uygulama çalıştıran ECS01 ve ECS02 olmak üzere iki arka uç sunucusu oluşturdunuz.

Adım 1: Sunucu sertifikası satın alın

Alibaba Cloud Certificate Management Service konsolu veya diğer hizmet sağlayıcılardan sunucu sertifikası satın alabilirsiniz. Tarayıcı kullanarak sunucunun gönderdiği sertifikanın güvenilir bir yetkili tarafından verilip verilmediğini kontrol edebilirsiniz.

Adım 2: OpenSSL kullanarak CA sertifikası oluşturun

Karşılıklı kimlik doğrulamada, sunucu sertifikasının tarayıcılar tarafından güvenilir olması için yetkili bir CA tarafından verilmesi gerekir (Adım 1). Ancak, istemci sertifikalarını yönettiğiniz ve dağıttığınız için bunların genel bir güven zincirine ihtiyacı yoktur. Bu nedenle, bu sertifikaları vermek üzere kendinden imzalı bir CA sertifikası kullanabilirsiniz. İstemci sertifikaları vermek için kendinden imzalı bir CA sertifikası oluşturmak amacıyla aşağıdaki adımları izleyin.

OpenSSL'in yüklü olduğu herhangi bir Linux makinesinde oturum açın.

1. Kök sertifikanın özel anahtarını oluşturmak için aşağıdaki komutu çalıştırın:

   openssl genrsa -out root.key 4096

2. Kök sertifika için bir sertifika imzalama isteği (CSR) dosyası oluşturmak için aşağıdaki komutu çalıştırın:

   openssl req -new -out root.csr -key root.key

   İstendiğinde bilgileri girin. Aşağıda bir örnek verilmiştir:

   Not

   CA sertifikasının Ortak Adı (Common Name) benzersiz olmalıdır. Sunucu veya istemci sertifikalarıyla aynı Ortak Adı kullanmayın.

   Country Name (2 letter code) [XX]:cn
   State or Province Name (full name) []:bj
   Locality Name (eg, city) [Default City]:bj
   Organization Name (eg, company) [Default Company Ltd]:alibaba
   Organizational Unit Name (eg, section) []:test
   Common Name (eg, your name or your servers hostname) []:root
   Email Address []:a.alibaba.com
   A challenge password []:
   An optional company name []:

3. Kök sertifikayı oluşturmak için aşağıdaki komutu çalıştırın:

   openssl x509 -req -in root.csr -out root.crt -signkey root.key -CAcreateserial -days 3650

   Çıktı aşağıdakine benzer:

   [root@i-xxx ~]# openssl x509 -req -in root.csr -out root.crt -signkey root.key -CAcreateserial -days 3650
   Signature ok
   subject=C = cn, ST = bj, L = bj, O = alibaba, OU = test, CN = root, emailAddress = xxx@xxx.com
   Getting Private key

4. Oluşturulan kök sertifikayı root.crt ve özel anahtarı root.key görüntülemek için ls komutunu çalıştırın.

Adım 3: İstemci sertifikası oluşturun

1. İstemci sertifikası için bir özel anahtar oluşturmak üzere aşağıdaki komutu çalıştırın:

openssl genrsa -out client.key 4096

2. İstemci sertifikası için bir CSR dosyası oluşturmak üzere aşağıdaki komutu çalıştırın. Ortak Adı (Common Name) alan adınız olarak ayarlayın.

openssl req -new -out client.csr -key client.key

3. İstemci sertifikasını oluşturmak için aşağıdaki komutu çalıştırın:

openssl x509 -req -in client.csr -out client.crt -CA root.crt -CAkey root.key -CAcreateserial -days 3650

4. Oluşturulan istemci sertifikasını client.crt tarayıcı tarafından tanınabilen bir PKCS12 dosyasına dönüştürmek için aşağıdaki komutu çalıştırın. İstemci özel anahtarı için belirlediğiniz şifreleme parolasını girmek üzere istemleri takip edin.

openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.p12

5. Oluşturulan istemci sertifikası dosyalarını görüntülemek için ls komutunu çalıştırın: client.key, client.crt ve client.p12.

Adım 4: İstemci sertifikasını yükleyin

İstemci sertifikasını istemciye yükleyin.

Adım 5: Sunucu sertifikasını ve CA sertifikasını yükleyin

1. CLB konsolunda oturum açın.

2. Sol gezinme bölmesinde, CLB > Certificates seçeneğini belirleyin ve sunucu sertifikasını yüklemek için Add Certificate öğesini tıklayın.

3. Add Certificate panelinde, Third-party Certificates seçeneğini tıklayın, aşağıdaki parametreleri yapılandırın ve ardından Create öğesini tıklayın.

   Parametre	Açıklama
   Certificate Name	Sertifika için bir ad girin.
   Certificate Type	Server Certificate seçeneğini belirleyin.
   Public Key Certificate	Sunucu sertifikasının içeriği. İçeriği düzenleyiciye yapıştırın.
   Private Key	Sunucu sertifikasının özel anahtarı. Özel anahtarı düzenleyiciye yapıştırın.
   Region	CLB örneğinin bölgesini seçin.

4. Certificates sayfasında, CA sertifikasını yüklemek için Add Certificate öğesini tıklayın.

5. Add Certificate panelinde, Third-party Certificates seçeneğini tıklayın, aşağıdaki parametreleri yapılandırın ve ardından Create öğesini tıklayın.

   Parametre	Açıklama
   Certificate Name	Sertifika için bir ad girin.
   Certificate Type	CA Certificate seçeneğini belirleyin.
   Client CA Certificate	İstemcinin genel anahtar sertifikasını yükleyin.
   Region	CLB örneğinin bölgesini seçin.

Adım 6: HTTPS dinleyicide karşılıklı kimlik doğrulamayı yapılandırın

1. Classic Load Balancer konsolunda oturum açın.

2. Oluşturduğunuz CLB örneğinin kimliğini tıklayın.

3. Listeners sekmesinde, Add Listener öğesini tıklayın.

4. Protocol & Listener sekmesinde, aşağıdaki parametreleri yapılandırın ve ardından Next öğesini tıklayın.

   • Select Listener Protocol: HTTPS

   • Listener Port: 443

5. Certificate Management Service sekmesinde, yüklediğiniz sunucu sertifikasını seçin.

6. Advanced Settings yanındaki Modify öğesini tıklayın, karşılıklı kimlik doğrulamayı etkinleştirin, yüklenen CA sertifikasını seçin ve ardından Next öğesini tıklayın.

7. Default Server Group seçeneğini belirleyin ve arka uç sunucularını eklemek için Add öğesini tıklayın.

8. Kalan parametreler için varsayılan değerleri kabul edin, sihirbazda ilerlemek için Next öğesini tıklayın. Son sayfada, dinleyiciyi oluşturmak için Submit öğesini tıklayın.

Adım 7: Karşılıklı kimlik doğrulama özelliğini test edin

sudo curl --cert /home/ca/client.crt --key /home/ca/client.key --cacert /home/ca/root.crt https://<the domain name on the server certificate>:<port>

[test@iZxxxw521i57Z ~]$ sudo curl --cert /home/ca/client.crt --key /home/ca/client.key --cacert /home/ca/ca.crt https://xxx.com.cn
Hello World ! This is ECS01.
[test@iZxxxw521i57Z ~]$ sudo curl --cert /home/ca/client.crt --key /home/ca/client.key --cacert /home/ca/ca.crt https://xxx.com.cn
Hello World ! This is ECS02.