AWS弹性豆茎VPC-从ELB到实例的HTTPS

Question

我试图找出管理EB docker应用程序的HTTPS的最佳方式。

目前我正在使用下面的方法。

< li>ELB接受443上的HTTPS连接，并转发到实例上的HTTP端口80。 < li>ELB接受80上的HTTP连接，并转发到实例上的HTTP端口8080。 < li >实例接受端口80上的HTTP连接，并转发到docker app。 < li >实例接受端口8080上的HTTP连接，并将它们重定向到HTTPS。

这一切都相当有效。这意味着Docker应用程序根本不必担心重定向。它只是侦听端口 80，并做它的事情。ELB 和泊坞窗主机将完成其余的工作。

我对这个设置唯一的担心是docker应用程序不知道它正在安全运行。如果我在我的应用程序中检查这个，它会失败。

我想将我的docker应用程序与域名和可能会改变的SSL证书完全分开，所以我更愿意继续终止ELB的原始HTTPS连接。我想知道是否有某种方法可以让docker主机(或ELB)以HTTPS协议转发(重新加密)请求，但使用自签名证书，这样我可以保持它完全通用。

需要明确的是，这只会发生在ELB和/或docker主机和我的docker应用之间，而不会发生在浏览器上。

如果我创建了一个未过期的自签名证书，然后在docker应用程序中向web服务器注册该证书（当前使用Apache2，但可能使用nginx），然后简单地告诉ELB或docker主机以HTTPS格式转发请求，这行得通吗？或者它会因为证书不可信而在某个时候失效吗？

或者，是否有某种方法能够在docker应用程序Web服务器上终止HTTPS连接，而无需实际预生成证书（我猜没有，因为大概需要动态生成证书或其他东西）。

有没有推荐的最佳实践方法来做这种事情？

Answer 1

当您的负载均衡器终止客户端连接并转发到后端时，一种常见的解决方案是让负载均衡器将标头添加到后端请求中，以填充通过让负载均衡器删除的任何信息。

ELB有一个关于这方面的页面，并使用了以下标题:

< Li > < code > X-Forwarded-For -客户端IP < Li > < code > X-Forwarded-Proto -方案/协议 < Li > < code > X-Forwarded-Port -传入端口。

通常不允许直接从客户机发送这些标头，除非它们是受信任的客户机。我想ELB会帮你解决这个问题。