禁用弱TLS 128位密码套件问题咨询（JBoss WildFly+ALB环境）

你的怀疑完全正确——TLS终止是在Application Load Balancer（ALB）层面完成的，SSLLabs检测的是ALB对外暴露的TLS配置，而你在WildFly的standalone.xml里修改的密码套件只影响ALB到后端WildFly的内部通信，所以外部扫描根本不会读取后端的配置，这就是为什么你的修改没生效。

接下来针对你的需求（禁用指定128位弱套件，仅启用TLS 1.2），给你两个可行的解决方案：

方案1：切换到更严格的ALB预定义安全策略 #

AWS提供了多个预定义的ALB安全策略，其中ELBSecurityPolicy-TLS-1-2-Strong-2021-06是专门针对强加密场景设计的，它只包含256位的安全密码套件，并且仅支持TLS 1.2协议，完全符合你的需求——这个策略里没有你列出的任何128位弱套件。

切换步骤如下：

• 登录AWS控制台，进入EC2服务 -> 负载均衡器页面
• 找到你的目标ALB，切换到监听器标签页
• 选中HTTPS监听器，点击编辑按钮
• 在安全策略下拉菜单中选择ELBSecurityPolicy-TLS-1-2-Strong-2021-06
• 保存更改，等待1-2分钟让配置生效，之后再用SSLLabs重新扫描验证

方案2：改用Network Load Balancer（NLB）并在WildFly上终止TLS #

如果你的业务场景允许放弃ALB的HTTP层功能（比如路径转发、会话粘滞等），可以考虑将ALB替换为NLB，然后把TLS终止移到WildFly服务器上。这样就能完全由WildFly的standalone.xml配置控制对外的密码套件，具体操作：

• 创建NLB并配置TCP监听器（对应WildFly的HTTPS端口）
• 将WildFly的standalone.xml中enabled-cipher-suites设置为你需要的强256位套件（比如你之前配置的TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA）
• 确保NLB的安全组允许外部HTTPS流量访问WildFly的端口

这个方案需要你评估业务对ALB功能的依赖，毕竟NLB是四层负载均衡，没有ALB的HTTP高级特性。

补充说明 #

如果你担心ALB到WildFly的内部通信安全，也可以配置ALB的后端TLS认证（即ALB验证WildFly的证书），同时在WildFly中配置仅允许强密码套件与ALB通信，但这一步不影响外部SSLLabs的检测结果，只是加固内部链路。

内容的提问来源于stack exchange，提问作者Arya Asok Kumar Sobha