关于AWS ALB配置及IIS站点混合内容错误的技术问询

让我分别解答你的两个问题：

问题一：你的理解完全正确！ #

ALB的SSL终止功能就是干这个的：它会先解密外部发来的HTTPS流量，然后以HTTP协议将请求转发到目标组关联的EC2实例。这种架构的优势很明显：

• 把SSL加密/解密的负载从EC2转移到ALB，减轻EC2的压力；
• 可以通过AWS Certificate Manager（ACM）统一管理SSL证书，不用在每个EC2上部署维护证书；
• 你的EC2安全组只需要开放80端口给ALB的IP范围（或者用AWS的前缀列表com.amazonaws.[region].elb更方便），完全不需要对外暴露443端口，安全性更高。

至于IIS里的SSL证书，确实可以移除——现在没有任何客户端会直接通过HTTPS连接到你的EC2实例，所有HTTPS流量都在ALB层面处理完毕，EC2只需要处理HTTP请求即可。当然如果之后有特殊场景需要直接访问EC2的HTTPS，留着证书也没问题，但当前架构下完全可以删掉。

问题二：解决混合内容错误的方案 #

你遇到的问题根源在于：ALB把外部的HTTPS请求转成HTTP转发给EC2后，IIS和你的CMS会误以为当前站点运行在HTTP环境下，哪怕你用的是相对路径，有些CMS会自动生成带HTTP协议的绝对资源链接，最终导致HTTPS页面加载HTTP资源，触发混合内容错误。

给你几个可行的解决方案，按推荐程度排序：

方案1：配置IIS重写规则，识别ALB的转发头部 #

ALB会给转发的请求添加X-Forwarded-Proto头部，当原始请求是HTTPS时，这个头部的值是https。我们可以利用IIS的URL重写模块，让IIS“知道”当前实际是HTTPS请求：

1. 打开IIS管理器，找到你的站点，进入URL重写模块；
2. 点击右侧的添加规则，选择空白规则；
3. 配置规则：
   • 名称：比如Set HTTPS from X-Forwarded-Proto
   • 匹配URL：保持默认的.*即可；
   • 条件：添加一个条件，输入{HTTP_X_FORWARDED_PROTO}，匹配类型选与模式匹配，模式填^https$；
   • 操作：选择重写，不需要修改URL，点击右侧的服务器变量，添加变量HTTPS，值设为ON；
4. 保存规则。

这个规则会让CMS认为当前请求是HTTPS的，生成的所有资源链接都会自动适配HTTPS，完全不需要修改任何相对路径，和你之前用IIS重写的思路完美适配。

方案2：出站规则替换HTTP链接（兜底方案） #

如果方案1没能解决问题（比如某些老旧CMS不识别HTTPS服务器变量），可以用URL重写的出站规则，把响应里的HTTP资源链接替换成HTTPS：

1. 在URL重写模块里添加出站规则；
2. 名称：比如Replace HTTP with HTTPS in Responses；
3. 匹配：选择响应内容，模式填http://(your-domain\.com)/(.*)（把your-domain.com换成你的实际域名，注意转义点号）；
4. 操作：替换为https://{R:1}/{R:2}；
5. 保存规则。

这个方案相当于“兜底”，但要注意：如果你的站点引用了第三方HTTP资源，也会被强制替换成HTTPS，可能导致资源加载失败，所以优先用方案1。

额外注意事项 #

• 确认你的ALB目标组已经启用了转发X-Forwarded-*头部（默认是开启的，可在目标组属性的“转发HTTP头部”里检查）；
• 如果你之前保留了IIS里的HTTP转HTTPS重写规则，记得删掉或者调整——因为ALB已经把外部的HTTP请求重定向到HTTPS了，内部转发的HTTP请求是合法的，保留旧规则会导致循环重定向。

内容的提问来源于stack exchange，提问作者Gary Neilson