Crear un oyente HTTPS para el equilibrador de carga de aplicaciones - Elastic Load Balancing
Requisitos previosAdición de un oyente HTTPS

Crear un oyente HTTPS para el equilibrador de carga de aplicaciones

Un oyente verifica solicitudes de conexión. Los oyentes se definen cuando se crea el equilibrador de carga, pero se pueden agregar otros oyentes en cualquier momento.

Para crear un oyente de HTTPS, debe implementar al menos un certificado de servidor SSL en el equilibrador de carga. El equilibrador de carga utiliza un certificado de servidor para terminar la conexión frontend y descifrar las solicitudes de los clientes antes de enviarlas a los destinos. Debe especificar también la política de seguridad que se utiliza para negociar las conexiones seguras entre los clientes y el equilibrador de carga.

Si necesita pasar tráfico cifrado a los destinos sin que el equilibrador de carga lo descifre, se puede crear un Equilibrador de carga de red o un Equilibrador de carga clásico con un oyente TCP en el puerto 443. Con un oyente TCP, el equilibrador de carga transfiere el tráfico cifrado a los destinos sin descifrarlo.

La información de esta página le ayuda a crear un oyente HTTPS para su equilibrador de carga. Para agregar un oyente HTTPS a un equilibrador de carga, consulte Crear un oyente HTTP para su equilibrador de carga de aplicaciones.

Requisitos previos

  • Para añadir una acción de reenvío a la regla predeterminada del oyente, debe especificar un grupo de destino disponible. Para obtener más información, consulte Creación de un grupo de destino para el Equilibrador de carga de aplicación.

  • Puede especificar el mismo grupo de destino en varios oyentes, pero estos deben pertenecer al mismo equilibrador de carga. Para usar un grupo de destino con un equilibrador de carga, debe comprobar que un oyente no lo use para ningún otro equilibrador de carga.

  • Los Equilibradores de carga de aplicación no admiten claves ED25519.

Adición de un oyente HTTPS

Configura un oyente con un protocolo y un puerto para las conexiones de los clientes al equilibrador de carga. Para obtener más información, consulte Configuración del oyente.

Cuando crea un oyente seguro, debe especificar una política de seguridad y un certificado. Para agregar certificados a la lista de certificados, consulte Añadir certificados a la lista de certificados.

Debe configurar una regla predeterminada para el oyente. Puede agregar otras reglas de oyente después de crear el oyente. Para obtener más información, consulte Reglas del oyente.

Console
Para agregar un oyente HTTPS

  1. Abra la consola de Amazon EC2 en https://console.aws.amazon.com/ec2/.

  2. En el panel de navegación, seleccione Load Balancers.

  3. Seleccione el equilibrador de carga.

  4. En la pestaña Oyentes y reglas, seleccione Añadir oyente.

  5. En Protocol (Protocolo), seleccione HTTPS. Mantenga el puerto predeterminado o introduzca un puerto diferente.

  6. (Opcional) Para agregar una regla de autenticación, seleccione Autenticar usuarios, elija un proveedor de identidad y proporcione la información requerida. Para obtener más información, consulte Autenticación de usuarios mediante un Equilibrador de carga de aplicación.

  7. En Acción de enrutamiento, seleccione una de las siguientes acciones de enrutamiento y proporcione la información requerida:

    • Reenviar a grupos de destinos: seleccione un grupo de destinos. Para agregar otro grupo de destinos, seleccione Agregar grupo de destinos, elija un grupo de destinos, revise las ponderaciones relativas y actualícelas según sea necesario. Debe habilitar la persistencia a nivel de grupo si habilitó la persistencia en alguno de los grupos de destinos.

      Si no tiene un grupo de destinos que se ajuste a sus necesidades, seleccione Crear grupo de destinos para crear uno ahora. Para obtener más información, consulte Crear un grupo de destino..

    • Redirección a URL: para ingresar la URL, indique cada parte por separado en la pestaña Partes del URI, o bien introduzca la dirección completa en la pestaña URL completa. En Código de estado, seleccione temporal (HTTP 302) o permanente (HTTP 301) según sus necesidades.

    • Respuesta fija: introduzca el Código de respuesta que se devolverá para las solicitudes de cliente descartadas. Opcionalmente, puede especificar el tipo de contenido y un cuerpo de respuesta.

  8. En Política de seguridad, se selecciona la política de seguridad recomendada. Puede seleccionar una política de seguridad diferente según sea necesario.

  9. En Certificado SSL/TLS predeterminado, elija el certificado predeterminado. También agregamos el certificado predeterminado a la lista SNI. Puede seleccionar un certificado mediante una de las siguientes opciones:

    • Desde ACM: elija un certificado desde Certificado (de ACM), que muestra los certificados disponibles en AWS Certificate Manager.

    • Desde IAM: elija un certificado desde Certificado (de IAM), que muestra los certificados que importó a AWS Identity and Access Management.

    • Importar certificado: elija un destino para el certificado: Importar a ACM o Importar a IAM. En Clave privada del certificado, copie y pegue el contenido del archivo de clave privada (codificado en PEM). En Cuerpo del certificado, copie y pegue el contenido del archivo del certificado de clave pública (codificado en PEM). En Cadena del certificado, copie y pegue el contenido del archivo de la cadena del certificado (codificado en PEM), a menos que use un certificado autofirmado y no sea importante que los navegadores acepten implícitamente el certificado.

  10. (Opcional) Para habilitar la autenticación mutua, en Gestión de certificados de cliente, habilite la Autenticación mutua (mTLS).

    El modo predeterminado es acceso directo. Si selecciona Verificar con el almacén de confianza:

    • De forma predeterminada, se rechazan las conexiones con certificados de cliente vencidos. Para cambiar este comportamiento, abra la configuración avanzada de mTLS y, en Caducidad del certificado de cliente, seleccione Permitir certificados de cliente caducados.

    • En Almacén de confianza, seleccione un almacén de confianza existente o elija Nuevo almacén de confianza y proporcione la información requerida.

  11. (Opcional) Para agregar etiquetas, expanda Etiquetas del oyente. Seleccione Agregar nueva etiqueta e ingrese la clave y el valor de la etiqueta.

  12. Elija Agregar oyente.

AWS CLI
Para crear un oyente HTTPS

Utilice el comando create-listener. El siguiente ejemplo crea un oyente HTTPS con una regla predeterminada que reenvía el tráfico al grupo de destinos especificado.

aws elbv2 create-listener \
    --load-balancer-arn load-balancer-arn \
    --protocol HTTPS \
    --port 443 \
    --default-actions Type=forward,TargetGroupArn=target-group-arn \
    --ssl-policy ELBSecurityPolicy-TLS13-1-2-2021-06 \
    --certificates certificate-arn
CloudFormation
Para crear un oyente HTTPS

Defina un recurso de tipo AWS::ElasticLoadBalancingV2::Listener. El siguiente ejemplo crea un oyente HTTPS con una regla predeterminada que reenvía el tráfico al grupo de destinos especificado.

Resources:
  myHTTPSListener:
    Type: 'AWS::ElasticLoadBalancingV2::Listener'
    Properties: 
      LoadBalancerArn: !Ref myLoadBalancer
      Protocol: HTTPS
      Port: 443
      DefaultActions:
        - Type: "forward"
          TargetGroupArn: !Ref myTargetGroup
      SslPolicy: ELBSecurityPolicy-TLS13-1-2-2021-06
      Certificates: 
        - CertificateArn: certificate-arn