ALB/NLB未向EC2实例传递证书？IBM DataPower访问异常求助

核心问题是：ALB/NLB默认不会转发客户端的TLS客户端证书到后端DataPower实例。你用curl --cert --key直接访问时，是客户端与DataPower完成双向TLS握手；但通过ELB时，客户端先和ELB做TLS握手，ELB再与DataPower建立连接，这个过程中ELB不会主动传递客户端证书，导致DataPower因未收到证书报错。

针对ALB的解决步骤 #

1. 配置ALB信任客户端根CA
   • 将要求的特定根CA证书导入ALB的证书管理器（作为信任存储），确保ALB能验证客户端证书的有效性。
2. 开启客户端证书转发
   • 在ALB的HTTPS监听器配置中，启用“客户端证书验证”，并开启“转发客户端证书”选项，ALB会将客户端证书以X-Forwarded-Client-Cert头部的形式传递给后端。
3. 调整DataPower MPG配置
   • 修改MPG的认证策略，添加从HTTP头部X-Forwarded-Client-Cert提取证书并验证的逻辑（替代或兼容原有的TLS握手时证书验证）。

针对NLB的解决步骤 #

NLB是四层负载均衡，要传递客户端证书需启用TLS透传（TLS Passthrough）：

1. 配置NLB监听为TCP模式
   • 创建TCP类型的NLB监听器，端口对应DataPower的TLS监听端口（比如443）。
2. 后端目标组直接指向DataPower的TLS端口
   • 确保目标组的端口是DataPower配置了双向TLS认证的端口，NLB会直接透传所有TCP流量（包括完整的TLS握手包）到后端。
3. 安全组与路由配置
   • 确保NLB的安全组允许客户端访问对应TLS端口，同时DataPower的安全组允许NLB的流量进入。

验证方法 #

• 配置完成后，用原curl命令访问ELB端点：

  curl --cert client-cert.pem --key client-key.pem https://<elb-endpoint>:port/path
  

• 查看DataPower日志，确认：
  • ALB场景：收到X-Forwarded-Client-Cert头部，且证书验证通过。
  • NLB场景：TLS握手日志显示客户端证书被正确接收并验证。

常见坑点 #

• ALB未配置信任根CA时，会直接拒绝带客户端证书的请求，务必先完成CA导入。
• DataPower MPG需同步调整认证逻辑，否则仍会在与ELB的握手时要求证书（而ELB默认不会提供客户端证书）。

内容的提问来源于stack exchange，提问作者Varun