问题：

AWS ELB ->使用自签名证书的 HTTPS 后端服务器

益炜

2023-03-14

我已经准备好了用于在我的 AWS ELB 上终止外部 HTTPS 连接。我现在尝试使用带有自签名证书的 HTTPS 来保护 EC2 上的 ELB 和后端 NGINX 服务器之间的连接。我已经按照文档进行操作，但是通过HTTPS访问服务器会导致408 HTTP超时。我似乎无法获得任何调试信息来确定故障所在。

路由

有什么方法可以让我获得其他诊断信息来测试这一点吗？

以下是我的 ELB 配置：

$ aws elb describe-load-balancers --load-balancer-name <MY-ELB-NAME>

{
    "LoadBalancerDescriptions": [
        {
            "Subnets": [
                "<REDACTED>",
                "<REDACTED>",
                "<REDACTED>"
            ],
            "CanonicalHostedZoneNameID": "<REDACTED>",
            "VPCId": "<REDACTED>",
            "ListenerDescriptions": [
                {
                    "Listener": {
                        "InstancePort": 80,
                        "LoadBalancerPort": 80,
                        "Protocol": "HTTP",
                        "InstanceProtocol": "HTTP"
                    },
                    "PolicyNames": []
                },
                {
                    "Listener": {
                        "InstancePort": 443,
                        "SSLCertificateId": "<REDACTED>",
                        "LoadBalancerPort": 443,
                        "Protocol": "HTTPS",
                        "InstanceProtocol": "HTTPS"
                    },
                    "PolicyNames": [
                        "ELBSecurityPolicy-2015-05"
                    ]
                }
            ],
            "HealthCheck": {
                "HealthyThreshold": 2,
                "Interval": 30,
                "Target": "HTTP:80/health",
                "Timeout": 10,
                "UnhealthyThreshold": 2
            },
            "BackendServerDescriptions": [
                {
                    "InstancePort": 443,
                    "PolicyNames": [
                        "MyBackendServerAuthenticationPolicy"
                    ]
                }
            ],
            "Instances": [
                {
                    "InstanceId": "<REDACTED>"
                }
            ],
            "DNSName": "<REDACTED>.us-west-2.elb.amazonaws.com",
            "SecurityGroups": [
                "<GROUP_ID>"
            ],
            "Policies": {
                "LBCookieStickinessPolicies": [],
                "AppCookieStickinessPolicies": [],
                "OtherPolicies": [
                    "ELBSecurityPolicy-2015-05",
                    "MyBackendServerAuthenticationPolicy",
                    "MyPublicKeyPolicy"
                ]
            },
            "LoadBalancerName": "<MY-ELB-NAME>",
            "CreatedTime": "2016-03-23T20:58:49.490Z",
            "AvailabilityZones": [
                "us-west-2a",
                "us-west-2b",
                "us-west-2c"
            ],
            "Scheme": "internal",
            "SourceSecurityGroup": {
                "OwnerAlias": "<REDACTED>",
                "GroupName": "<GROUP_NAME>"
            }
        }
    ]
}

以下是我的弹性负载均衡政策：

$ aws elb describe-load-balancer-policies --load-balancer-name <MY-ELB-NAME>
{
    "PolicyDescriptions": [
        {
            "PolicyAttributeDescriptions": [
                {
                    "AttributeName": "Reference-Security-Policy",
                    "AttributeValue": "ELBSecurityPolicy-2015-05"
                },
                ...
                {
                    "AttributeName": "Protocol-TLSv1.2",
                    "AttributeValue": "true"
                },
                ...
                {
                    "AttributeName": "ECDHE-RSA-AES128-GCM-SHA256",
                    "AttributeValue": "true"
                },
                ...
            ],
            "PolicyName": "ELBSecurityPolicy-2015-05",
            "PolicyTypeName": "SSLNegotiationPolicyType"
        },
        {
            "PolicyAttributeDescriptions": [
                {
                    "AttributeName": "PublicKeyPolicyName",
                    "AttributeValue": "MyPublicKeyPolicy"
                }
            ],
            "PolicyName": "MyBackendServerAuthenticationPolicy",
            "PolicyTypeName": "BackendServerAuthenticationPolicyType"
        },
        {
            "PolicyAttributeDescriptions": [
                {
                    "AttributeName": "PublicKey",
                    "AttributeValue": "<REDACTED>"
                }
            ],
            "PolicyName": "MyPublicKeyPolicy",
            "PolicyTypeName": "PublicKeyPolicyType"
        }
    ]
}

这是我的NGINX配置：

worker_processes 10;
worker_rlimit_nofile 8192;
events {
  worker_connections  4096;
}

error_log syslog:server=unix:/dev/log error;
pid       logs/nginx.pid;

http {
  default_type  application/octet-stream;

  log_subrequest on;
  access_log syslog:server=unix:/dev/log,severity=debug extended;

  tcp_nodelay    on;
  tcp_nopush     on;

  server_tokens off;

  upstream api {
    server localhost:8080;
  }

  server {
    listen 80 default_server;
    listen [::]:80 default_server;

    location / {
      # Redirect all other HTTP requests to HTTPS with a 301 Moved Permanently response.
      return 301 https://$host$request_uri;
    }
  }

  server {
    listen 443 ssl;
    listen [::]:443 ssl;

    ssl_certificate /path/to/ssl.crt;
    ssl_certificate_key /path/to/ssl.key;
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:50m;
    ssl_session_tickets off;ECDHE

    # Diffie-Hellman parameter for DHE ciphersuites, recommended 2048 bits
    ssl_dhparam /path/to/dhparam.pem;

    # modern configuration. tweak to your needs.
    # See: https://mozilla.github.io/server-side-tls/ssl-config-generator/
    ssl_protocols TLSv1.2;
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
    ssl_prefer_server_ciphers on;

    add_header Strict-Transport-Security "max-age=15768000; includeSubDomains;";

    # Our main location to proxy everything else to the upstream
    # server, but with the added logic for enforcing HTTPS.
    location / {
      proxy_http_version 1.1;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header Host $http_host;
      proxy_redirect off;
      proxy_next_upstream error;

      proxy_pass http://api;
    }
  }
}

我正在使用以下命令生成密钥/证书：

$ openssl genrsa \
  -out /path/to/ssl.key 2048
$ openssl req \
  -sha256 \
  -new \
  -key /path/to/ssl.key \
  -out /path/to/ssl.csr
$ openssl x509 \
  -req \
  -days 365 \
  -in /path/to/ssl.csr \
  -signkey /path/to/ssl.key \
  -out /path/to/ssl.crt
$ openssl dhparam -out /path/to/dhparam.pem 2048

共有1个答案

欧阳向文

2023-03-14

在NGINX配置中添加一些非EC DHE密码为我解决了这个问题。我已经在nginx.conf的HTTPS侦听器中切换到了以下配置：

  # intermediate configuration. tweak to your needs.
  ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';

我想放弃所有非EC DHE密码，只支持ECDHE。我怀疑这解决了问题，因为我生成的是RSA密钥/证书，而不是EC密钥/证书。如果有人知道我如何正确地生成EC密钥/证书，然后正确地提取EC公钥以上传到AWS，请改进我的回答。我试图生成一个EC密钥/证书，但是当我试图创建ELB公钥策略时，AWS将其报告为无效公钥。

类似资料：

ELB到使用带有自签名证书的HTTPS的后端服务器

我希望建立一个ELB，使用HTTPS与后端服务器通信。我正在尝试使用单个后端服务器进行概念验证，但似乎无法让ELB与服务器通信。我几乎可以肯定这是一个证书问题，因为任何没有SSL的设置都可以完美工作。我如何设置？我尝试了来自多个答案和博客帖子的各种建议，但没有成功。我现在所做的是使用以下命令设置自签名证书（来自AWS ELB- 我在签名时尝试了多个域名，我可以使用它们：这里有我应该使用的域/
如何为HTTPS Node.js服务器使用自签名证书？

问题内容：我已经开始为API编写包装，该包装要求所有请求都通过HTTPS进行。我不想在开发和测试它时向实际的API发出请求，而是希望在本地运行自己的服务器来模拟响应。我对如何生成创建HTTPS服务器并向其发送请求所需的证书感到困惑。我的服务器看起来像这样： Pem文件是使用以下命令生成的：一个请求看起来像这样：通过此设置，我得到了，所以我认为我需要为该请求添加一个选项。所以我的问题是我
使用自签名证书的HTTPS服务器的PhoneGap Ajax调用失败

问题内容：我对phonegap比较陌生，最近我在Windows apache服务器上使用自签名证书设置了HTTPS / SSL，并尝试发出HTTPS ajax发布请求。在浏览器中运行时，该请求工作正常，但在phonegap中运行时失败。我尝试将android：debuggable设置为false，但这不能解决问题。我也做了一些研究，似乎phonegap确实支持HTTPS ajax请求，所以我对请
使用自签名证书从https服务器响应本机获取（）

我试图与具有自签名证书的https服务器通信。我可以从你的电脑上做这件事。NET应用程序（使用ServicePointManager.ServerCertificateValidationCallback事件）、本机iOs应用程序（使用allowsAnyHTTPSCertificateForHost）或web浏览器（只需声明证书受信任）。但我无法让它在react本机应用程序中工作（无论是在An
客户端使用自签名证书连接到SSL服务器

问题内容：我完全被困在这里。我有一个Java客户端代码，需要使用自签名证书连接到SSL服务器。仅当我在服务器端禁用SSLv2支持时，才会出现此问题。痕迹是在服务器端，我可以看到以下跟踪：如果启用SSL2，我会看到而且一切正常。我还知道那不是服务器端的东西，因为与其他软件连接可以正常工作。知道我在做什么错吗？还有人知道这个“读取客户端问候A / B”是什么意思吗？谢谢更新
Java服务器自签名证书+客户端证书和SSL握手_失败

问题内容：我正在连接到以前成功使用过的Web服务，但是现在他们已经更改了主机名并向我发送了两个.pem文件。一个是CA，另一个是我的新客户证书。（我将Java 1.5，Spring + Spring Web Services与Apache httpclient一起使用，但是我怀疑我的问题是证书，密钥和SSL本身。）我已经导入了.pem文件以及从Firefox导出到cacerts中的主机的.c

AWS ELB ->使用自签名证书的 HTTPS 后端服务器

共有1个答案

相关问答

相关文章

相关阅读

相关工具

相关文档