AWS EC2伺服器的HTTPS負載平衡器配置過程

標籤：

AWS EC2伺服器配置負載平衡器步驟： 1、普通負載平衡器 至少兩台EC2執行個體，這裡以Centos6.7系統為例啟動之後先安裝個apache的httpd伺服器預設80連接埠，或者使用其他伺服器和連接埠也行，配置負載平衡器的時候需要用到這個連接埠iptables防火牆開啟80連接埠或者直接關閉防火牆在/var/www/html裡面建立個index.html檔案，內容隨意，註冊執行個體到負載平衡器的時候會通過這個連接埠請求這個預設首頁檔案，請求得到執行個體才能註冊成功可以先使用curl http://內網IPtelnet 內網IP 連接埠來檢查是不是成功，ELB會通過內網和執行個體通訊 注意，AWS安全性群組的策略的入站規則必須包含HTTP，80連接埠安全性群組相當於EC2伺服器的防火牆，Amazon Linux系統只通過安全性群組來控制，其他例如Centos系統內部仍然內建防火牆和selinux所以使用時需要注意安全性群組、系統防火牆和selinux 在EC2的控制台介面左邊導覽列上選擇負載平衡器點擊建立 給個自訂名稱，其他可以預設  安全性群組根據自己需要配置   這一步是HTTPS的負載平衡器配置使用的，所以直接預設   確認Ping的連接埠和路徑沒錯就ok   添加執行個體   之後的標籤和審核看自己決定   啟動之後，點擊負載平衡器選項，在下面的描述選項卡可以看到幾個執行個體正在服務，繼續點擊可以查看各個執行個體的狀態，InService才是正常的如果出現OutOfService狀態的話請檢查伺服器內網IP、連接埠、防火牆、selinux、安全性群組策略、Apache伺服器的狀態來排查問題 2、HTTPS負載平衡器 首先需要建立SSL。 建立SSL認證：Amazon提供的文檔這部分寫的太官方了，而且含有強烈的英文翻譯成中文的那種感覺，讀起來不要不要的。雖然按著他提供的步驟是能夠正確建立的但是還是稍微整理下把基本操作列出來，可以在看官方文檔的過程中參看下提高效率。 官網文檔地址：http://docs.amazonaws.cn/ElasticLoadBalancing/latest/DeveloperGuide/ssl-server-cert.html Linux上（任意機器，甚至是Mac系統，只要能執行一下命令即可）： 使用OpenSSL建立伺服器憑證（RSA加密方式）：openssl genrsa -out my-private-key.pem 2048 根據my-private-key.pem建立CSR檔案，過程會輸入一些簡要的資訊：openssl req -sha256 -new -key my-private-key.pem -out csr.pem 根據csr.pem建立自我簽署憑證：openssl x509 -req -days 365 -in csr.pem -signkey my-private-key.pem -out my-certificate.pem 最後產生的檔案有三個，分別是（1）私人密鑰my-private-key.pem（2）包含簡要資訊的csr.pem（3）最後的伺服器憑證my-certificate.pem 之後可以根據官網的步驟使用AWS CLI進行上傳並驗證，這裡示範的是在建立HTTPS負載平衡器的時候上傳伺服器憑證，所以建立SSL認證的部分就完成了。 建立HTTPS負載平衡器： 選擇負載平衡器，點擊建立之後不再保持預設設定在監聽器配置一欄點擊添加，負載平衡器協議和執行個體協議均選擇HTTPS，連接埠號碼預設443選中啟用進階VPC設定在多出來的選擇子網中按照要求選擇子網，這裡將兩個可以用的子網都添加進去了     選擇安全性群組，注意該安全性群組入站規則要有HTTPS的443連接埠    在第三部配置安全設定中，選擇上傳一個新的認證。輸入認證名稱。將之前產生的my-private-key.pem的內容全部複製到私人密鑰中。將my-certificate.pem的內容全部輸入到公有密鑰認證中。由於使用的是自我簽署憑證，所以不用填寫憑證鏈結一格。 在選擇密碼的選項中，可以選擇預定義的安全性原則，也可以使用自訂。選擇使用後端認證的話，要按之前的步驟重新建立一個SSL認證，輸入認證名和公有密鑰認證即可。 之後的步驟和配置普通的負載平衡器一致。 HTTPS負載平衡器啟動之後，如果出現執行個體無法註冊的話，仍然驗證伺服器內網IP、連接埠、防火牆、selinux、安全性群組策略、Apache伺服器的狀態來排查問題（注意增加了HTTPS的443連接埠）或者參考官方的排錯文檔。 如果在審核啟動之後出現  則是帳號沒有管理員權限，請聯絡管理員獲得相應的許可權。 最後使用ELB要注意預熱的問題。      更新： 預設aws上的 連接埠80/8080/443都是關閉的。如果網站需要公眾訪問，則需要先進行 ICP 備案。詳情請見：https://forums.aws.csdn.net/thread.jspa?threadID=111&tstart=0 AWS論壇上客服的回複（隔了一天多的時間），解決無法通過外網訪問伺服器的問題，沒有備案的話三個預設連接埠是關閉的。 

AWS EC2伺服器的HTTPS負載平衡器配置過程