添加HTTPS監(jiān)聽
HTTPS是在HTTP基礎(chǔ)上加入了SSL/TLS加密協(xié)議的安全版本，用于保護數(shù)據(jù)在客戶端和服務(wù)器之間的傳輸安全。您的業(yè)務(wù)如果需要傳輸一些敏感數(shù)據(jù)例如用戶信息或身份信息，或者您想提升您的業(yè)務(wù)安全性避免可能存在的安全風(fēng)險，您可以創(chuàng)建使用加密連接的HTTPS監(jiān)聽來轉(zhuǎn)發(fā)來自HTTPS協(xié)議的請求。
前提條件
您已經(jīng)創(chuàng)建CLB實例，具體操作，請參見創(chuàng)建和管理CLB實例。
步驟一：配置監(jiān)聽
- 登錄傳統(tǒng)型負(fù)載均衡CLB控制臺。
在頂部菜單欄處，選擇實例所屬的地域。
選擇以下一種方法，打開監(jiān)聽配置向?qū)А?
在實例管理頁面，找到目標(biāo)實例，然后在操作列單擊監(jiān)聽配置向?qū)?/b>。
在實例管理頁面，單擊目標(biāo)實例ID，在實例詳情頁選擇監(jiān)聽頁簽，然后單擊添加監(jiān)聽。
在協(xié)議&監(jiān)聽配置向?qū)В瓿梢韵聟?shù)的配置，然后單擊下一步。
監(jiān)聽配置
說明
選擇監(jiān)聽協(xié)議
選擇監(jiān)聽的協(xié)議類型。
本文選擇HTTPS。
后端協(xié)議
當(dāng)本文選擇的是HTTPS協(xié)議時，后端協(xié)議為HTTP協(xié)議。
監(jiān)聽端口
用來接收請求并向后端服務(wù)器進行請求轉(zhuǎn)發(fā)的監(jiān)聽端口。端口范圍為1~65535。
監(jiān)聽名稱
設(shè)置自定義監(jiān)聽名稱。
標(biāo)簽
選擇或輸入標(biāo)簽鍵與標(biāo)簽值。
高級配置
單擊修改展開高級配置。
調(diào)度算法
選擇調(diào)度算法。
加權(quán)輪詢（WRR）：權(quán)重值越高的后端服務(wù)器，被輪詢到的次數(shù)（概率）也越高。
輪詢（RR）：按照訪問順序依次將外部請求分發(fā)到后端服務(wù)器。
開啟會話保持
選擇是否開啟會話保持。
開啟會話保持功能后，負(fù)載均衡會把來自同一客戶端的訪問請求分發(fā)到同一臺后端服務(wù)器上進行處理。
Cookie處理方式：
植入Cookie：您只需要指定Cookie的過期時間。
客戶端第一次訪問時，負(fù)載均衡會在返回請求中植入Cookie（即在HTTP或HTTPS響應(yīng)報文中插入ServerId），下次客戶端攜帶此Cookie訪問，負(fù)載均衡服務(wù)會將請求定向轉(zhuǎn)發(fā)給之前記錄到的后端服務(wù)器上。
會話保持超時時間：選擇植入Cookie時，輸入會話保持的超時時間。
重寫Cookie：可以根據(jù)需要指定HTTPS或HTTP響應(yīng)中插入的Cookie。您需要在后端服務(wù)器上維護該Cookie的過期時間和生存時間。
負(fù)載均衡服務(wù)發(fā)現(xiàn)用戶自定義了Cookie，將會對原來的Cookie進行重寫，下次客戶端攜帶新的Cookie訪問，負(fù)載均衡服務(wù)會將請求定向轉(zhuǎn)發(fā)給之前記錄到的后端服務(wù)器。
Cookie名稱：選擇重寫Cookie時，輸入Cookie名稱。
啟用HTTP2.0
選擇是否開啟CLB前端協(xié)議版本為HTTP 2.0。
啟用訪問控制
選擇是否啟用訪問控制。
開啟訪問控制后，選擇一種訪問控制方式，并設(shè)置訪問控制策略組，作為該監(jiān)聽的白名單或黑名單。
- 白名單：允許特定IP訪問負(fù)載均衡SLB，僅轉(zhuǎn)發(fā)來自所選訪問控制策略組中設(shè)置的IP地址或地址段的請求，白名單適用于只允許特定IP訪問的場景。設(shè)置白名單存在一定業(yè)務(wù)風(fēng)險。一旦設(shè)置白名單，就只有白名單中的IP可以訪問負(fù)載均衡監(jiān)聽。
如果開啟了白名單訪問，但訪問策略組中沒有添加任何IP，則負(fù)載均衡監(jiān)聽會轉(zhuǎn)發(fā)全部請求。
- 黑名單：禁止特定IP訪問負(fù)載均衡SLB，不會轉(zhuǎn)發(fā)來自所選訪問控制策略組中設(shè)置的IP地址或地址段，黑名單適用于只限制某些特定IP訪問的場景。
如果開啟了黑名單訪問，但訪問策略組中沒有添加任何IP，則負(fù)載均衡監(jiān)聽會轉(zhuǎn)發(fā)全部請求。
說明IPv6實例只能綁定IPv6訪問控制策略組，IPv4實例只能綁定IPv4訪問控制策略組。詳情參見創(chuàng)建訪問控制策略組。
開啟監(jiān)聽帶寬限速
選擇是否配置監(jiān)聽帶寬。
對于按帶寬計費的負(fù)載均衡實例，您可以針對不同監(jiān)聽設(shè)定不同的帶寬峰值來限定監(jiān)聽的流量。實例下所有監(jiān)聽的帶寬峰值總和不能超過該實例的帶寬。默認(rèn)不開啟，各監(jiān)聽共享實例的總帶寬。
重要如果公網(wǎng)CLB整體公網(wǎng)帶寬為5 Mbps，配置兩個監(jiān)聽， 其中A監(jiān)聽分配帶寬5 Mbps， B監(jiān)聽沒有分配帶寬，則會出現(xiàn)B監(jiān)聽端口訪問不通的情況，請謹(jǐn)慎分配帶寬。
如果私網(wǎng)CLB配置三個監(jiān)聽，A、B監(jiān)聽共分配帶寬5120 Mbps，則剩下的C監(jiān)聽會出現(xiàn)端口訪問不通的情況，請謹(jǐn)慎分配帶寬。
使用流量計費方式的實例默認(rèn)不限制帶寬峰值。
連接空閑超時時間
指定連接空閑超時時間。
在超時時間內(nèi)一直沒有訪問請求，負(fù)載均衡會暫時中斷當(dāng)前連接，直到下一次請求來臨時重新建立新的連接。
連接請求超時時間
指定請求超時時間。
在超時時間內(nèi)后端服務(wù)器一直沒有響應(yīng)，負(fù)載均衡將放棄等待，給客戶端返回HTTP 504錯誤碼。
Gzip數(shù)據(jù)壓縮
開啟該配置對特定文件類型進行壓縮，關(guān)閉則不會對任何文件類型進行壓縮。
目前Gzip支持壓縮的類型包括：
text/xml、text/plain、text/css、application/javascript、application/x-javascript、application/rss+xml、application/atom+xml和application/xml。附加HTTP頭字段
選擇您要添加的自定義HTTP頭字段：
添加
X-Forwarded-For頭字段獲取客戶端真實IP。說明CLB七層監(jiān)聽默認(rèn)開啟通過X-Forwarded-For頭字段獲取客戶端真實IP功能，不支持關(guān)閉。
添加
SLB-ID頭字段獲取負(fù)載均衡實例的ID。添加
SLB-IP頭字段獲取負(fù)載均衡實例IP地址。添加
X-Forwarded-Proto頭字段獲取負(fù)載均衡的監(jiān)聽協(xié)議。添加
X-Forwarded-Port頭字段獲取負(fù)載均衡實例的監(jiān)聽端口。添加
X-Forwarded-Client-srcport頭字段獲取訪問負(fù)載均衡實例客戶端的端口。
說明X-Forwarded-Port字段和X-Forwarded-Client-srcport字段，僅華東1（杭州）、華東2（上海）、華北1（青島）、華北2（北京）、華北3（張家口）、華南1（深圳）、中國香港地域支持。
獲取客戶端真實IP
獲取來訪者的真實IP地址，默認(rèn)開啟。
創(chuàng)建完畢自動啟動監(jiān)聽
是否在監(jiān)聽配置完成后啟動負(fù)載均衡監(jiān)聽，默認(rèn)開啟。
步驟二：配置SSL證書
證書說明
添加HTTPS監(jiān)聽，您需要上傳服務(wù)器證書或CA證書并選擇TLS安全策略，證書對比如下表所示。
證書 | 說明 | 單向認(rèn)證是否需要 | 雙向認(rèn)證是否需要 |
服務(wù)器證書 | 用來證明服務(wù)器的身份。 您的瀏覽器用來檢查服務(wù)器發(fā)送的證書是否是由自己信賴的中心簽發(fā)的。更多信息，請參見什么是SSL證書。 | 是 服務(wù)器證書需要上傳到負(fù)載均衡的證書管理系統(tǒng)。 | 是 服務(wù)器證書需要上傳到負(fù)載均衡的證書管理系統(tǒng)。 |
CA 證書 | 服務(wù)器使用CA證書驗證客戶端證書的簽名。如果未通過驗證，則拒絕連接。 說明 客戶端用戶在與服務(wù)器端通信時，客戶端證書用來證明客戶端用戶的真實身份?？蛻舳俗C書僅需要在客戶端安裝。 | 否 | 是 CA證書需要上傳到負(fù)載均衡的證書管理系統(tǒng)。 |
注意事項
在上傳證書前，請注意：
目前阿里云負(fù)載均衡支持的公鑰算法：RSA 1024、RSA 2048、RSA 4096、ECDSA P-256、ECDSA P-384和ECDSA P-521。
上傳的證書格式必須是PEM。
證書上傳到負(fù)載均衡后，負(fù)載均衡即可管理證書，不需要在后端ECS上綁定證書。
因為證書的上傳、加載和驗證都需要一些時間，所以使用HTTPS協(xié)議的實例生效也需要一些時間。一般一分鐘后就會生效，最長不會超過三分鐘。
HTTPS監(jiān)聽使用的ECDHE算法簇支持前向保密技術(shù)，不支持將DHE算法簇所需要的安全增強參數(shù)文件上傳，即PEM證書文件中含有
BEGIN DH PARAMETERS字段的字符串上傳。更多信息，請參見證書要求。HTTPS監(jiān)聽的會話ticket保持時間默認(rèn)為300秒。
HTTPS監(jiān)聽實際產(chǎn)生的流量會比賬單流量更多一些，因為會使用一些流量用于協(xié)議握手。
在新建連接數(shù)很高的情況下，會占用較大的流量。
操作步驟
在SSL證書配置向?qū)?，選擇已上傳的服務(wù)器證書，或者在選擇服務(wù)器證書時單擊新建服務(wù)器證書上傳一個服務(wù)器證書。您也可以購買證書。
可選：單擊高級配置后面的修改，開啟HTTPS雙向認(rèn)證或者設(shè)置TLS安全策略。
說明僅性能保障型實例支持選擇使用的TLS安全策略。
TLS安全策略包含HTTPS可選的TLS協(xié)議版本和配套的加密算法套件，具體說明，請參見TLS安全策略。
步驟三：添加后端服務(wù)器
添加處理前端請求的后端服務(wù)器。您可以使用實例配置的默認(rèn)服務(wù)器組，也可以為監(jiān)聽配置一個虛擬服務(wù)器組。更多信息，請參見后端服務(wù)器概述。
本文以默認(rèn)后端服務(wù)器組為例。
在后端服務(wù)器配置頁面，選擇默認(rèn)服務(wù)器組，然后單擊繼續(xù)添加。
在我的服務(wù)器面板，選擇要添加的后端服務(wù)器，然后單擊下一步。
在權(quán)重列下，配置添加的后端服務(wù)器的權(quán)重。
說明權(quán)重越大ECS實例將被分配到更多的訪問請求，默認(rèn)為100。可通過單擊重置修改權(quán)重為默認(rèn)值。
權(quán)重設(shè)置為0，該服務(wù)器不會再接受新請求。
單擊添加，配置后端服務(wù)器用來接收請求的端口。然后單擊下一步。
同一個負(fù)載均衡實例內(nèi)，后端服務(wù)器端口可以相同。
步驟四：配置健康檢查
CLB通過健康檢查來判斷后端服務(wù)器（ECS實例）的業(yè)務(wù)可用性。健康檢查機制提高了前端業(yè)務(wù)整體可用性，避免了后端ECS異常對總體服務(wù)的影響。
可選：在健康檢查配置向?qū)В瑔螕?b data-tag="uicontrol" id="uicontrol-2j1-33f-jo8" class="uicontrol">修改更改健康檢查配置。
具體操作，請參見配置和管理CLB健康檢查。
單擊下一步。
步驟五：提交配置
在配置審核配置向?qū)?，檢查監(jiān)聽配置，您可以單擊修改更改配置。
確認(rèn)無誤后，單擊提交。
等待配置成功后，單擊知道了。
配置成功后，您可以在監(jiān)聽頁面查看已創(chuàng)建的監(jiān)聽。
相關(guān)文檔
HTTPS在安全性方面提供了更好的保護，但可能會增加一些開銷，如計算資源和網(wǎng)絡(luò)延遲，在內(nèi)部網(wǎng)絡(luò)通信、測試和開發(fā)環(huán)境或者非敏感信息傳輸?shù)葓鼍埃部蛇x擇性使用HTTP監(jiān)聽，具體操作可參考添加HTTP監(jiān)聽。在實際生產(chǎn)環(huán)境中，建議您使用HTTPS進行加密傳輸。
后端服務(wù)器組的操作，您可參考：
健康檢查原理，您可參考CLB健康檢查工作原理。配置健康檢查參數(shù)的詳細(xì)介紹，您可參考配置和管理CLB健康檢查。
負(fù)載均衡調(diào)度算法介紹，您可參考負(fù)載均衡調(diào)度算法介紹。
如果您需要為HTTPS監(jiān)聽添加域名或URL的轉(zhuǎn)發(fā)策略，請參見基于域名或URL路徑進行轉(zhuǎn)發(fā)。
如果您需要將HTTP訪問重定向至HTTPS，請參見將HTTP訪問重定向至HTTPS。
如果您需要使用CLB部署HTTPS單向認(rèn)證業(yè)務(wù)，請參見使用CLB部署HTTPS業(yè)務(wù)（單向認(rèn)證）。
如果您需要使用CLB部署HTTPS雙向認(rèn)證業(yè)務(wù)，請參見使用CLB部署HTTPS業(yè)務(wù)（雙向認(rèn)證）。
如果您需要使用CLB配置多域名HTTPS網(wǎng)站，請參見單CLB實例配置多域名HTTPS網(wǎng)站。
當(dāng)您使用HTTPS監(jiān)聽時，如果您需要后端服務(wù)器通過CLB獲取客戶端真實IP地址，你可參考教程通過CLB七層監(jiān)聽獲取客戶端真實IP進行配置。