如何使用 Elastic Load Balancer 在 Amazon EC2 上设置 HTTPS

Question

我已在 Amazon Certificate Manager 中申请证书。现在它的状态为“已发布”。 在 EC2 控制台中，我创建了负载均衡器。有 2 个侦听器：HTTP 和 HTTPS。我尝试了 Application Load Balancer 和 Classic Load Balancer，但无法通过 HTTPS 连接到我的站点。

我的 nginx 配置：

server {
    listen 80;
    #listen 443 ssl;

    rewrite ^(.*) https://$host$1 permanent; 

    server_name site.com www.site.com;
    root /home/ubuntu/www/site.com/wordpress;
    index index.php;

    client_max_body_size 20m;
    gzip on;
    gzip_disable "msie6";
    gzip_types text/plain text/css application/json application/x-javascript text/xml application/xml application/xml+rss text/javascript application/javascript;


    location ~* ^/(\.htaccess|xmlrpc\.php)$ {
        return 404;
    }

    location ~ /\. {
            deny all;
    }

    location ~* /(?:uploads|files)/.*\.php$ {
            deny all;
    }

    location ~* ^.+\.(ogg|ogv|svg|svgz|eot|otf|woff|mp4|ttf|rss|atom|jpg|jpeg|gif|png|ico|zip|tgz|gz|rar|bz2|doc|xls|exe|ppt|tar|mid|midi|wav|bmp|rtf)$ {
            access_log off;
            log_not_found off;
            expires max;
    }

    location / {
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header Host $http_host;

        set $is_https 'off';
            if ($http_x_forwarded_proto ~ 'https') {
                set $is_https 'on';
            }
        proxy_set_header HTTPS $is_https;

        proxy_redirect off;
        if (!-f $request_filename) {
            proxy_pass http://app_server;
            break;
     }
            #try_files $uri $uri/ /index.php?$args; # permalinks
    }

    location ~ \.php$ {
            fastcgi_pass unix:/var/run/php/php7.1-fpm.sock;
            fastcgi_index index.php;
            include fastcgi_params;
    }

}

如何手动导入证书？或者有办法用亚马逊证书建立 HTTPS 连接？

Answer 1

如果您有 ACM 证书，您只需从 ELB 侦听器中为 HTTPS/443 选择该证书，您无需费心在您的 nginx 实例中设置 SSL 配置。让它在端口 80 上响应。

您只需要 ELB 中的 HTTP/80 和 HTTPS/443 到实例上的 HTTP 端口 80（此示例使用经典 ELB）

如果证书在 ACM 中，当您在 SSL 证书下选择“更改”时，您应该会在下拉列表中看到它一次。

现在您只需确保您的 ELB 安全组设置为允许来自 80/443 的入口和来自 80 的出口。并且您需要确保您的实例允许来自 ELB 安全组的入口。

Answer 2

根据您的 ELB 设置和端口映射，当您的实例位于 AWS ELB 之后（h/t @Michael - sqlbot）时，$https 变量并不总是有效。您应该改用HTTP_X_FORWARDED_PROTO 标头并将重写规则移到检查HTTP_X_FORWARDED_PROTO 标头的IF 语句中：

location / {
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  proxy_set_header Host $http_host;
  proxy_redirect off;

  if ($http_x_forwarded_proto != "https") {
    rewrite ^(.*)$ https://$server_name$1 permanent;
  }

  .
  .
  .
}

安全组注意事项

此外，您需要确保您的负载均衡器可以与侦听器端口和运行状况检查端口上的已注册目标进行通信。欲了解更多信息：

Security Groups for Your Application Load Balancer

Security Groups for Your Classic Load Balancer