基于AWS ALB实现Web应用端到端加密方案咨询

核心问题分析 #

ALB层面的TLS协商错误，本质是ALB与后端EC2实例的TLS参数不匹配：包括协议版本（如ALB启用TLS 1.3但EC2仅支持TLS 1.0）、加密套件集合不一致，或是EC2侧证书不被ALB信任。结合你拒绝自签名证书、不愿承担高成本Private CA的需求，以下是最优解决方案：

推荐方案1：复用ACM证书，对齐TLS配置（端到端加密） #

这是最符合AWS生态的方案，无需额外成本，且能实现严格的端到端加密：

1. 导出ACM证书至EC2实例
   ACM证书无法直接在控制台下载，但可通过AWS CLI结合OpenSSL处理：
   • 先获取证书和证书链：

     aws acm get-certificate --certificate-arn arn:aws:acm:us-east-1:123456789012:certificate/abc123-xyz456 --output text --query Certificate > server.crt
     aws acm get-certificate --certificate-arn arn:aws:acm:us-east-1:123456789012:certificate/abc123-xyz456 --output text --query CertificateChain > chain.crt
     

   • 若ACM证书是自动生成私钥，需通过AWS Support申请导出私钥；若为自行上传的证书，直接使用原有私钥文件，将证书、链、私钥合并为应用服务器可识别的格式（如PKCS#12）：

     openssl pkcs12 -export -in server.crt -inkey private.key -out cert.p12 -passout pass:yourpassword
     

   • 将生成的证书文件上传至EC2实例，导入到Nginx、Apache等应用服务器中。
2. 同步TLS协议与加密套件
   在EC2的应用服务器配置中，对齐ALB的TLS参数：
   • ALB的默认加密套件可在控制台「负载均衡器 > 属性 > 安全策略」中查看，复制对应的套件列表。
   • 以Nginx为例，修改配置文件：

     ssl_protocols TLSv1.2 TLSv1.3;
     ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
     ssl_prefer_server_ciphers off;
     ssl_certificate /path/to/server.crt;
     ssl_certificate_key /path/to/private.key;
     ssl_trusted_certificate /path/to/chain.crt;
     

3. 验证与灰度切换
   • 用openssl s_client -connect <EC2_IP>:<PORT>测试EC2侧TLS配置是否正常。
   • 更新ALB目标组为HTTPS协议，先将少量流量切到配置完成的EC2实例，确认无错误后全量切换。

备选方案2：TLS终止于ALB，内部流量通过VPC安全隔离 #

若业务对端到端加密要求不高，可简化架构快速修复错误：

• 将ALB配置为TLS终止模式（保留ACM证书），目标组协议改为HTTP。
• 通过安全组规则限制：仅允许ALB所在的VPC CIDR访问EC2的应用端口，避免内部流量暴露。
• 此方案无需修改EC2的TLS配置，运维成本极低，且客户端到ALB的加密仍生效。

备选方案3：使用免费公有CA签发EC2证书 #

如果不想复用ACM证书，可使用Let's Encrypt等免费公有CA为EC2实例的域名签发证书：

• 在EC2实例上安装Certbot工具，自动申请证书：

  # Debian/Ubuntu系统
  sudo apt update && sudo apt install certbot python3-certbot-nginx
  sudo certbot --nginx -d ec2-private.example.com
  

• 若EC2使用私有域名，需在Route53添加DNS解析记录，采用DNS验证方式完成证书签发，避免依赖公网端口开放。

业务平稳运行保障 #

• 监控告警：在CloudWatch中创建TLSNegotiationErrorCount指标告警，实时监控ALB的TLS错误；同时配置EC2应用服务器的日志告警，追踪TLS握手失败日志。
• 自动续期：Let's Encrypt证书通过Certbot配置自动续期任务（默认已开启）；ACM证书会自动续期，无需干预。
• 灰度发布：通过ALB目标组的权重调整，逐步将流量切换到配置正确的实例，避免全量切换导致服务中断。

内容的提问来源于stack exchange，提问作者behnood rahbarfar