Cloudfront、ELB和SSL

Question

如果我使用Cloudfront坐在Web服务器前面，而Web服务器本身就在ELB后面，那么下面的内容适用吗？

>

我使用Route53为CF域创建域名记录并将SSL证书应用于该域以保护分发

如果CF不能提供来自缓存的内容，那么SSL连接将被转发到ELB(它将web服务器作为源服务器)

因此，我还需要在ELB上使用相同的域名（FQDN）（通过Route53 CNAME）并在那里申请相同的证书？

当CF通过ELB转发请求时，SSL终止，对吗？一个FQDN证书是否足以或更好地使用通配符？使用源服务器域名是否更好？

由于我现在可以使用新的 AWS 证书管理器工具 （ACM） 来添加这些证书，有谁知道如果使用 ACM（这使得 CF 成为昂贵的 AWS 服务），CF 是否仍需要使用自定义 SSL 证书的成本？

Answer 1

如果CF不能提供来自缓存的内容，那么SSL连接将被转发到ELB(它将web服务器作为源服务器)

SSL连接不是“转发”的。在CloudFront和ELB之间建立了新的SSL连接。

用户和CloudFront之间的SSL连接与CloudFrond和ELB之间的连接完全不同。因此，不要求匹配ELB和CloudFront上使用的域名。

因此，我还需要在ELB上使用相同的域名（FQDN）（通过Route53 CNAME）并在那里申请相同的证书？

唯一的限制是弹性负载均衡上的 SSL 证书必须与弹性html" target="_blank">负载均衡上使用的域名匹配。它可以是与云Front上使用的证书和域名不同的 SSL 证书和域名。

如果您想使用“自定义SSL”功能并支持“所有客户端”，而不仅仅是那些支持SNI的客户端，那么是的，即使您正在使用ACM，您仍然必须支付额外费用。

示例1

您可以为www.domain.com和origin.domain.com创建Route 53记录，并为*.domain.com创建SSL证书。从这些记录中，您可以将www.domain.com分配到CloudFront发行版，将origin.domain.com分配到您的ELB，并在这两个地方使用通配符证书。

示例2

您可以为www.domain创建Route 53记录。com和origin.domain。com和www.domain的单独SSL证书。com和origin.domain.com。通过这些，您可以分配www.domain。com到CloudFront分发版，使用www.domain。com证书和origin.domain。使用origin.domain访问您的ELB。com证书。

示例 3

您可以为www.domain1.com和origin.domain2.com创建Route 53记录，并为www.domain2.com和origin.domain2.com.创建单独的SSL证书。因此，您可以使用www.domain2.com证书将www.domain2.com分配给CloudFront发行版，并使用origin.domain2.com证书将origin.domain2.com分配给ELB。