AWS Cloudfront级别的SSL卸载

Question

我们使用以下AWS基础设施：

路线53-

现在，我们在CloudFront级别设置了ssl证书，在ELB级别设置了相同的证书，从而为我们提供了CF和ELB之间的端到端加密。endpoint2 AWS CF和原点之间的endpoint在这里被描述为最佳实践。

这是指这张图片上的完整SSL（严格）（这是用于CloudFlare堆栈，但这是为了更好地说明，所以没关系）。我们希望在AWS CF级别上卸载SSL，以避免从CF到ELB的往返移动到灵活的SSL，如图所示。

在 CF 级别卸载 SSL 是个好主意吗？是否有任何性能改进值得在CF级别之后放弃端到端加密？

我们可以以某种方式限制ELB仅接受来自某些AWS CF的连接吗？

此外，ELB SSL性能也存在一些性能问题（似乎被证明很擅长，但我仍有一些问题）。总的来说，AWS CF在SSL解密工作上是否比ELB表现更好也很有趣。

Answer 1

根据您的应用程序的性质和合规性要求，在CF或不卸载SSL。

通常，如果所有实体都通过CF访问应用程序（例如，没有从某些客户端到后端VPC的VPN连接），在CF卸载就足够了。两者都有SSL的性能差异并不显著。

为了只允许从CF到ELB的入站，目前没有可用的直接方法。一种可能的方法是使用Lambda函数更新ELB的安全组，从AWS提供的JSON url获取CF IP范围。

此外，与ELB相比，CF的SSL卸载速度更快，因为有许多服务器在边缘位置运行，接受您的连接，而ELB为每个AZ提供服务器（通常为2或3个）。