通过AWS ALB传输HTTPS与TCP流量的问题求助

方案1：配置NLB实现TLS加密（纠正你对NLB的误解） #

NLB支持通过TLS终止实现流量加密，操作步骤如下：

• 在ACM中申请或导入与NLB关联域名匹配的证书。
• 给NLB添加TLS类型监听，选择视频流使用的TCP端口（如1935），并关联ACM中的证书作为服务器证书。
• 将NLB的目标组指向EC2实例对应的TCP端口，同时确保EC2安全组允许NLB访问该端口。
• 将域名解析到NLB，此时NLB会处理TLS加密，同时转发底层TCP流量到EC2，既实现加密又保证视频流正常加载。

方案2：将视频流改为HTTP/HTTPS协议适配ALB #

如果视频流可调整为基于HTTP的协议（如HLS、DASH），可直接用ALB统一处理所有流量：

• 确保视频Web门户通过HTTPS（443端口）提供视频流，给ALB配置HTTPS监听并关联ACM证书。
• 检查ALB目标组是否正确将443端口转发到EC2的对应端口，同时确认安全组允许ALB访问EC2的443端口。
• 这种方式下，网页和视频流量都走HTTP/HTTPS，ALB可正常转发并实现加密。

方案3：ALB+NLB组合部署 #

若无法修改视频流协议，同时希望网页保留ALB的七层功能，可采用组合部署：

• 网页流量：将主域名解析到ALB，ALB配置HTTPS监听转发到EC2的网页端口，实现加密访问。
• 视频流流量：使用子域名（如video.yourdomain.com）解析到NLB，NLB配置TLS监听转发视频TCP端口并关联ACM证书。
• 在Web门户中，将视频资源链接指向视频子域名，实现网页走ALB、视频走加密NLB流量的分离部署。

排查要点 #

• 确认EC2安全组允许负载均衡器（ALB/NLB的安全组）访问对应业务端口。
• 检查负载均衡器的目标组健康状态，确保EC2实例处于健康可用状态。
• 用tcping或curl工具测试负载均衡器端口是否能正常连通到EC2实例。

内容的提问来源于stack exchange，提问作者DForesi