Bir Network Load Balancer (NLB) örneği için TCPSSL dinleyici yapılandırdığınızda, bir TLS güvenlik ilkesi örneğin istemcilerle TLS anlaşması sırasında kullandığı TLS protokol sürümlerini ve şifre paketlerini belirtir. NLB, yaygın olarak kullanılan birkaç sistem tanımlı güvenlik ilkesi sunar. Özel güvenlik veya uyumluluk gereksinimleriniz varsa bunun yerine özel bir güvenlik ilkesi oluşturabilirsiniz.
Nasıl çalışır
Bir NLB örneği, TLS anlaşması için kullanılacak TLS protokol sürümlerini ve şifre paketlerini belirtmek üzere bir TLS güvenlik ilkesi kullanır. Anlaşma sırasında istemci desteklediği protokol sürümlerini ve şifre paketlerini listeleyen bir Client Hello mesajı gönderir. NLB örneği ilkeye göre istemcinin listesinden karşılıklı olarak desteklenen bir protokol sürümü ve şifre paketi seçer ve bu seçimi bir Server Hello yanıtında onaylar. Anahtar değişimi ve oturum anahtarı oluşturma gibi sonraki adımlar bu mutabakata varılan parametreleri kullanır.
Varsayılan ilkeler
Özel uyumluluk gereksinimleri olmayan internete yönelik uygulamalar için tls_cipher_policy_1_2 veya daha yeni bir ilke kullanın.
Konsol
NLB konsolundaki TLS Güvenlik İlkeleri sayfasına gidin. İlke ayrıntıları Default Policy sekmesinde yer alır.
API
Varsayılan ilkeleri almak için ListSystemSecurityPolicy işlemini çağırın.
Özel ilkeler
Özel ilke oluşturun
Konsol
Network Load Balancer (NLB) konsolundaki TLS Güvenlik İlkeleri sayfasına gidin ve NLB örneğinizin dağıtıldığı bölgeyi seçin.
-
Create Custom Policy öğesine tıklayın. Aşağıdaki parametreleri yapılandırın ve Create öğesine tıklayın.
Minimum Version: İş yüklerinizin özel uyumluluk gereksinimleri yoksa gelişmiş güvenlik için TLS 1.2 or Later seçeneğini belirlemenizi öneririz.
Enable TLS 1.3: Güvenliği ve verimliliği artırmak için uyumlu hizmetlerde bu seçeneği etkinleştirmenizi öneririz.
Cipher Suite: Seçilen TLS protokol sürümleriyle uyumlu şifre paketlerini seçin.
İlkeyi oluşturduktan sonra bir dinleyici için TLS güvenlik ilkesi yapılandırırken bu ilkeyi seçebilirsiniz.
API
Özel bir ilke oluşturmak için CreateSecurityPolicy işlemini çağırın. Özel ilke NLB örneğiyle aynı bölgede olmalıdır.
Özel ilke niteliklerini güncelleyin
Konsol
NLB konsolundaki TLS Güvenlik İlkeleri sayfasına gidin ve özel ilkenin bulunduğu bölgeyi seçin.
Hedef özel ilkeyi bulun ve Actions sütunundaki Modify öğesine tıklayın. Modify TLS Security Policy iletişim kutusunda TLS protokol sürümlerini veya şifre paketlerini güncelleyin.
API
Özel bir ilkenin niteliklerini güncellemek için UpdateSecurityPolicyAttribute işlemini çağırın.
Özel ilkeyi diğer bölgelere çoğaltın
Konsol
NLB konsolundaki TLS Güvenlik İlkeleri sayfasına gidin ve özel ilkenin bulunduğu bölgeyi seçin.
Hedef özel ilkeyi bulun, Actions sütunundaki Replicate to Other Regions öğesine tıklayın, bir hedef bölge seçin ve OK öğesine tıklayın.
API
Özel ilkenin TlsVersion ve Ciphers parametrelerini almak için ListSecurityPolicy işlemini çağırın. Ardından CreateSecurityPolicy işlemini çağırarak bu parametreleri geçirin ve yeni bir ilke oluşturun. İstekte RegionId parametresini hedef bölgenin kimliğine ayarlayın.
Özel ilkeyi silin
Bir dinleyici tarafından kullanılan özel bir ilkeyi silemezsiniz. İlkeyi silmek için önce dinleyicinin TLS güvenlik ilkesini değiştirmeniz veya dinleyiciyi silmeniz gerekir.
Konsol
NLB konsolundaki TLS Güvenlik İlkeleri sayfasına gidin ve özel ilkenin bulunduğu bölgeyi seçin.
Hedef özel ilkeyi bulun, Delete sütunundaki Actions öğesine tıklayın ve OK öğesine tıklayın.
API
Özel bir ilkeyi silmek için DeleteSecurityPolicy işlemini çağırın.
Dinleyici için TLS güvenlik ilkesi yapılandırın
Konsol
Bir TCPSSL dinleyici oluştururken Configure SSL Certificate sekmesinde bir TLS Security Policy seçin. Bir TCPSSL dinleyiciyi hızlıca oluştururken Quick Create Listener iletişim kutusunda bir TLS Security Policy seçin.
Bir dinleyicinin TLS güvenlik ilkesini güncellemek için örnek ayrıntıları sayfasındaki Listener sekmesine gidin ve TCPSSL dinleyicisinin kimliğine tıklayın. Listener Details sayfasında SSL Certificate bölümündeki TLS Security Policy değerini güncelleyin.
API
Bir TCPSSL dinleyici oluşturmak için CreateListener işlemini çağırırken veya bir TCPSSL dinleyiciyi güncellemek için UpdateListenerAttribute işlemini çağırırken SecurityPolicyId parametresini TLS güvenlik ilkesinin kimliğine ayarlayın.
Bir varsayılan ilkenin
SecurityPolicyIddeğerini almak için ListSystemSecurityPolicy işlemini çağırın.Özel bir ilkenin
SecurityPolicyIddeğerini almak için ListSecurityPolicy işlemini çağırın.
Faturalama
TLS güvenlik ilkeleri ücretsizdir. Ancak kullandığınız NLB örnekleri için ücretlendirilirsiniz. Daha fazla bilgi için bkz. NLB faturalandırma kuralları.
Üretim ortamı
Arka uç trafiği güvenliği: Bir istemci ile bir NLB arasındaki trafik TCPSSL kullanılarak şifrelenir ancak NLB ile arka uç sunucuları arasındaki trafik varsayılan olarak düz metindir. Uçtan uca güvenliği sağlamak için NLB'yi ve arka uç sunucularını aynı VPC içinde dağıtın ve erişimi sıkı bir şekilde kontrol etmek için güvenlik gruplarını kullanın.
TLS sürümü: Uygulamanızın belirli uyumluluk gereksinimleri yoksa daha güçlü güvenlik için TLS 1.2 ve TLS 1.3 kullanın.
Değişiklik geri alma: Bir TLS güvenlik ilkesini değiştirdikten sonra bir sorun oluşursa dinleyici yapılandırmasını güncelleyerek değişikliği hemen geri alın. Bu değişiklikleri yoğun saatler dışında gerçekleştirmenizi öneririz.
Anahtar değişim algoritması: Uygulamanızın belirli uyumluluk gereksinimleri yoksa üretim ortamında aşağıdaki RSA tabanlı şifre paketlerinin kullanımından kaçının:
AES128-GCM-SHA256,AES256-GCM-SHA384,AES128-SHA256,AES256-SHA256,AES128-SHA,AES256-SHAveDES-CBC3-SHA. Bu paketler Mükemmel İleri Gizlilik (PFS) özelliğinden yoksundur ve yan kanal saldırılarına karşı savunmasızdır. ECDHE veya DHE anahtar değişimi içeren şifre paketlerine öncelik verin.
TLS şifre paketi referansı
Bu tabloda her bir şifre paketi karşılık gelen OpenSSL formatı, IANA standart formatı ve onaltılık gösterimiyle eşleştirilmiştir.