ELB的HTTPS向HTTP IIS后端服务器报告不安全的消息

Question

我不太确定这是否是我的问题的正确措辞，但在我们的环境中，标准是使用接受HTTPS流量的AWS ELB，并在ELB级别进行SSL终止。从那里，ELB和web服务器之间的所有流量都是使用常规HTTP完成的。这种配置似乎对运行在apace或nginx上的web服务器很有效，但是我需要对我们的一个IIS服务器使用相同的格式，这似乎给我带来了一些问题。

我可以点击ELB并访问网站，但它在URL栏中给我一条“不安全”消息。有关设置的一些背景信息如下：

• 使用HTTPS侦听器（443）创建的ELB到实例协议/端口HTTP（80）
• ELB上安装的通配符SSL证书
• IIS服务器上安装的相同SSL证书（证书的友好名称设置为通配符证书的CN）
• IIS网站上的http（80）绑定集

我发现了多篇关于URL重写模块将HTTP重定向到HTTPS的帖子，但我不确定这是我想要做的。我们的ELB和IIS服务器位于安全的VPC中，因此HTTPS（在ELB上）到HTTP（IIS Web服务器）都可以。我想如果我使用URL重写方法，这将与将SSL卸载到Web服务器相同？

Answer 1

看起来我的问题实际上是我使用的证书和dns名称的问题。我们使用一个通配符ssl证书(即，*.example.com)，我的ELB的CNAME记录被设置为类似test01.stage.example.com的东西。

一旦我将CNAME记录更改为test01.example.com并从IIS服务器中删除ssl证书，一切都正常工作。我对通配符证书有点误解。我只是假设*。example.com会捕获任何东西，即使它是3级或4级域。

Answer 2

当您访问HTTPS网站时，如果需要加载一些额外的资产（例如图像、CSS文件、JS文件等）来自HTTP位置，那么您的浏览器将/可能会抱怨连接不安全。

使用Web浏览器的开发人员工具，查看是否建立了任何HTTP而不是HTTPS的连接（返回到您的服务器或另一台服务器）。

Answer 3

实施URL重写模块2.0规则以基于URL模式进行重定向并不意味着将SSL卸载到IIS，如果您已经将证书上传到ELB，则无需在IIS上安装SSL证书。

在IIS上安装URL重写后，通常您会在Web中编写重写规则。配置如下：

<system.webServer>
  <rewrite>
    <rules>
      <rule name="Redirect to HTTPS" stopProcessing="true">
        <match url="(.*)" />
        <conditions>
          <add input="{HTTP_X_FORWARDED_PROTO}" pattern="^http$" ignoreCase="false" />
        </conditions>
        <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="Permanent" />
      </rule>
    </rules>
    <outboundRules>
      <rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
        <match serverVariable="RESPONSE_Strict_Transport_Security" pattern=".*" />
        <conditions>
          <add input="{HTTPS}" pattern="on" ignoreCase="true" />
        </conditions>
        <action type="Rewrite" value="max-age=31536000" />
      </rule>
    </outboundRules>
  </rewrite>
</system.webServer>

您可能会在此找到关于如何解决证书错误的其他有用信息。