应用程序负载平衡器（ELBv2）SSL直通

Question

我正在尝试配置AWS应用型负载均衡器（与经典负载均衡器相比）以将流量分配到我的EC2 Web服务器。出于合规性原因，我的应用程序需要端到端SSL/HTTPS加密。

在我看来，确保在客户端和web服务器之间的整个过程中对流量进行加密的最简单方法是终止web服务器上的HTTPS连接。

我的第一个问题：是否可以通过AWS应用程序负载平衡器将HTTPS流量以这种方式传递到负载平衡器后面的web服务器？

根据我从AWS文档中收集的信息，可以使用经典的负载平衡器（通过TCP传递）以这种方式传递流量。但是，应用程序负载平衡器似乎要终止HTTPS连接本身，然后执行以下操作之一：

• 未加密地将流量发送到web服务器，出于法规遵从性原因，我无法这样做
• 创建到web服务器的新HTTPS连接，这似乎是额外的工作量

我的第二个问题：对留档的理解正确吗？

Answer 1

终止web服务器上的SSL连接需要将负载平衡器侦听器从HTTPS更改为TCP。ALB不支持此功能，仅支持经典ELB。此外，如果您在web服务器上终止SSL，负载平衡器将无法检查请求，因为它无法解密请求，因此它将无法执行ALB支持的所有新奇的路由操作。

如果您实际上想将ALB用于它提供的新功能，并且需要端到端加密，则必须在ALB终止SSL并在Web服务器上安装SSL证书。Web服务器证书可能类似于自签名证书，因为只有ALB会看到该证书，而不是客户端。

我假设您需要端到端加密是出于合规性原因（PCI、HIPAA等）。否则没有非常令人信服的理由去经历设置它的麻烦。