Creación de un equilibrador de carga clásico con un oyente HTTPS

Abre la EC2 consola de Amazon en https://console.aws.amazon.com/ec2/.

En la barra de navegación, elija una región para el equilibrador de carga. Asegúrese de seleccionar la misma región que seleccionó para sus EC2 instancias.

En el panel de navegación, en Load Balancing (Equilibrio de carga), elija Load Balancers (Equilibradores de carga).

Elija Crear equilibrador de carga.

Amplíe la sección Equilibrador de carga clásico y, a continuación, seleccione Crear.

Configuración básica

1. En Nombre del equilibrador de carga, escriba un nombre para el equilibrador de carga.

   El nombre del equilibrador de carga clásico debe ser único en el conjunto de equilibradores de carga clásicos de la región, puede tener un máximo de 32 caracteres, solo puede contener caracteres alfanuméricos y guiones y no puede comenzar ni finalizar con un guion.

2. En Esquema, seleccione Orientado a Internet.

Asignación de redes

1. En VPC, seleccione la misma VPC que haya seleccionado para las instancias.

2. En Asignaciones, primero seleccione una zona de disponibilidad, y luego una subred pública de las subredes disponibles de esta. Solo puede seleccionar una subred por cada zona de disponibilidad. Para mejorar la disponibilidad del equilibrador de carga, seleccione más de una zona de disponibilidad y subred.

Grupos de seguridad

1. En Grupos de seguridad, seleccione un grupo de seguridad existente que esté configurado para permitir el tráfico HTTP requerido en el puerto 80 y el tráfico HTTPS en el puerto 443.

   Si no existe ninguno, puede crear un nuevo grupo de seguridad con las reglas necesarias.

Los oyentes y el enrutamiento

1. Deje el oyente predeterminado con la configuración predeterminada y seleccione Agregar oyente.

2. En Oyente, en el nuevo oyente, seleccione HTTPS como protocolo y el puerto se actualizará a 443. De manera predeterminada, Instancia utiliza el protocolo HTTP en el puerto 80.

3. Si se necesita autenticación de backend, cambie el protocolo de Instancia a HTTPS. Esto también actualizará el puerto de Instancia a 443.

Configuración de oyente seguro

Si utiliza HTTPS o SSL con el oyente frontend, debe implementar un certificado SSL en el equilibrador de carga. El equilibrador de carga usará el certificado para terminar la conexión y descifrar las solicitudes de los clientes antes de enviarlas a las instancias. Asimismo, debe especificar una política de seguridad. Elastic Load Balancing proporciona políticas de seguridad que tienen configuraciones de negociación SSL predefinidas, pero también puede crear su propia política de seguridad personalizada. Si la configuraste HTTPS/SSL en la conexión de back-end, puedes habilitar la autenticación de tus instancias.

1. Para la política de seguridad, se recomienda utilizar siempre la política de seguridad predefinida más reciente o crear una personalizada. Consulte Actualización de la configuración de negociación SSL.

2. Para el SSL/TLS certificado predeterminado, están disponibles las siguientes opciones:

   • Si creó o importó un certificado utilizando AWS Certificate Manager, seleccione Desde ACM y, a continuación, seleccione el certificado en Seleccionar un certificado.

   • Si ha importado un certificado mediante IAM, seleccione Desde IAM y, a continuación, seleccione el certificado en Seleccionar un certificado.

   • Si tiene un certificado para importar pero ACM no está disponible en su región, seleccione Importar y, a continuación, A IAM. Escriba el nombre del certificado en el campo Nombre del certificado. En Clave privada del certificado, copie y pegue el contenido del archivo de clave privada (con codificación PEM). En Cuerpo del certificado, copie y pegue el contenido del archivo de certificado de clave pública (con codificación PEM). En Cadena del certificado, copie y pegue el contenido del archivo de cadena del certificado (con codificación PEM), a no ser que utilice un certificado autofirmado y no sea importante que los navegadores acepten implícitamente dicho certificado.

3. (Opcional) Si ha configurado el oyente HTTPS para que se comunique con las instancias a través de una conexión cifrada, tiene la opción de configurar la autenticación de las instancias en Certificado de autenticación de backend.

   nota

   Si no ve la sección Certificado de autenticación de backend, vuelva a Oyentes y enrutamiento y seleccione HTTPS como protocolo para Instancia.

   1. En Nombre de certificado, escriba el nombre del certificado de clave pública.

   2. En Cuerpo del certificado (con codificación PEM), copie y pegue el contenido del certificado. El equilibrador de carga solamente se comunica con una instancia si su clave pública coincide con esta clave.

   3. Para agregar otro certificado, seleccione Agregar nuevo certificado de backend. El límite es cinco.

Comprobaciones de estado

1. En la sección Destino de ping, seleccione un Protocolo de ping y un Puerto de ping. EC2 Las instancias deben aceptar el tráfico del puerto ping especificado.

2. En Puerto de ping, asegúrese de que el puerto sea 80.

3. En Ruta de ping, sustituya el valor predeterminado por una barra diagonal (/). Esto le indica al ELB que envíe las solicitudes de verificación de estado a la página de inicio predeterminada del servidor web, por ejemplo. index.html

4. En Configuración avanzada de comprobación de estado, utilice los valores predeterminados.

Instancias

1. Seleccione Agregar instancias para que aparezca la pantalla de selección de instancias.

2. En Instancias disponibles puede seleccionar entre las instancias actuales que estén disponibles para el equilibrador de carga, en función de la configuración de red seleccionada anteriormente.

3. Cuando las selecciones le parezcan adecuadas, seleccione Confirmar para agregar las instancias que se deben registrar al equilibrador de carga.

Atributos

1. En Habilitar equilibrio de carga entre zonas, Habilitar drenaje de conexiones y Tiempo de espera (intervalo de drenaje), mantenga los valores predeterminados.

Etiquetas del equilibrador de carga (opcionales)

1. El campo Clave es obligatorio.

2. El campo Valor es opcional.

3. Para agregar otra etiqueta, seleccione Agregar nueva etiqueta y, a continuación, ingrese los valores en el campo Clave y, opcionalmente, en el campo Valor.

4. Para eliminar una etiqueta existente, seleccione Eliminar junto a la etiqueta que desee eliminar.

Resumen y creación

1. Si necesita cambiar alguna configuración, seleccione Editar junto a la configuración que sea necesario modificar.

2. Cuando todas las configuraciones mostradas en el resumen le parezcan adecuadas, seleccione Crear equilibrador de carga para comenzar con la creación del equilibrador de carga.

3. En la última página de creación, selecciona Ver balanceador de cargas para ver tu balanceador de cargas en la consola de Amazon EC2 .

Verificar

1. Seleccione el nuevo equilibrador de carga.

2. En la pestaña Instancias de destino, compruebe la columna Estado. Cuando al menos una de tus EC2 instancias esté en servicio, puedes probar el balanceador de carga.

3. En la sección Detalles, copie el Nombre de DNS del equilibrador de carga, que debe parecerse a my-load-balancer-1234567890.us-east-1.elb.amazonaws.com.

4. Pegue el Nombre de DNS del equilibrador de carga en el campo de direcciones de un navegador web conectado a la Internet pública. Si el equilibrador de carga funciona correctamente, verá la página predeterminada del servidor.

Eliminar (opcional)

1. Si tiene un registro CNAME para el dominio que señala al equilibrador de carga, apúntelo hacia una nueva ubicación y espere a que surta efecto el cambio de DNS antes de eliminar el equilibrador de carga.

2. Abre la EC2 consola de Amazon en https://console.aws.amazon.com/ec2/.

3. Seleccione el equilibrador de carga.

4. Seleccione Acciones, Eliminar equilibrador de carga.

5. Cuando se le pida confirmación, escriba confirm y seleccione Eliminar.

6. Tras eliminar un balanceador de cargas, las EC2 instancias que se registraron en él seguirán ejecutándose. Se le facturará cada hora parcial o completa que sigan ejecutándose. Cuando ya no necesites una EC2 instancia, puedes detenerla o cancelarla para evitar incurrir en cargos adicionales.

Obtenga el nombre de recurso de Amazon (ARN) del certificado SSL. Por ejemplo:

ACM

arn:aws:acm:region:123456789012:certificate/12345678-1234-1234-1234-123456789012

IAM

arn:aws:iam::123456789012:server-certificate/my-server-certificate

Utilice el siguiente create-load-balancercomando para configurar el equilibrador de carga con los dos oyentes:

aws elb create-load-balancer --load-balancer-name my-load-balancer --listeners "Protocol=http,LoadBalancerPort=80,InstanceProtocol=http,InstancePort=80" "Protocol=https,LoadBalancerPort=443,InstanceProtocol=http,InstancePort=80,SSLCertificateId="ARN" --availability-zones us-west-2a

A continuación, se muestra un ejemplo de respuesta:

{
  "DNSName": "my-loadbalancer-012345678.us-west-2.elb.amazonaws.com"
}

(Opcional) Usa el siguiente describe-load-balancerscomando para ver los detalles del balanceador de cargas:

aws elb describe-load-balancers --load-balancer-name my-load-balancer

Utilice el siguiente describe-load-balancer-policiescomando para enumerar los nombres de las políticas de seguridad predefinidas:

aws elb describe-load-balancer-policies

Para obtener información sobre la configuración de las políticas de seguridad predefinidas, consulte Políticas de seguridad SSL predefinidas para los equilibradores de carga clásicos.

Utilice el siguiente create-load-balancer-policycomando para crear una política de negociación de SSL mediante una de las políticas de seguridad predefinidas que describió en el paso anterior:

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer
--policy-name my-SSLNegotiation-policy --policy-type-name SSLNegotiationPolicyType 
--policy-attributes AttributeName=Reference-Security-Policy,AttributeValue=predefined-policy

(Opcional) Utilice el siguiente describe-load-balancer-policiescomando para comprobar que se ha creado la política:

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-name my-SSLNegotiation-policy

La respuesta incluye la descripción de la política.

Use el siguiente comando set-load-balancer-policies-of-listener para habilitar la política en el puerto 443 del balanceador de carga:

aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-SSLNegotiation-policy

(Opcional) Utilice el siguiente describe-load-balancerscomando para comprobar que la política esté habilitada:

aws elb describe-load-balancers --load-balancer-name my-loadbalancer

En el siguiente ejemplo, se muestra que la política está habilitada en el puerto 443.

{
    "LoadBalancerDescriptions": [
        {
            ....
            "ListenerDescriptions": [
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "SSLCertificateId": "ARN", 
                        "LoadBalancerPort": 443, 
                        "Protocol": "HTTPS", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": [
                        "my-SSLNegotiation-policy"
                    ]
                }, 
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "LoadBalancerPort": 80, 
                        "Protocol": "HTTP", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": []
                }
            ],
            ...
        }
    ]
}

Utilice el create-load-balancer-policycomando para crear una política de negociación de SSL mediante una política de seguridad personalizada. Por ejemplo:

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer 
 --policy-name my-SSLNegotiation-policy --policy-type-name SSLNegotiationPolicyType 
 --policy-attributes AttributeName=Protocol-TLSv1.2,AttributeValue=true 
 AttributeName=Protocol-TLSv1.1,AttributeValue=true 
 AttributeName=DHE-RSA-AES256-SHA256,AttributeValue=true 
 AttributeName=Server-Defined-Cipher-Order,AttributeValue=true

(Opcional) Utilice el siguiente describe-load-balancer-policiescomando para comprobar que se ha creado la política:

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-name my-SSLNegotiation-policy

La respuesta incluye la descripción de la política.

Use el siguiente comando set-load-balancer-policies-of-listener para habilitar la política en el puerto 443 del balanceador de carga:

aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-SSLNegotiation-policy

(Opcional) Utilice el siguiente describe-load-balancerscomando para comprobar que la política esté habilitada:

aws elb describe-load-balancers --load-balancer-name my-loadbalancer

En el siguiente ejemplo, se muestra que la política está habilitada en el puerto 443.

{
    "LoadBalancerDescriptions": [
        {
            ....
            "ListenerDescriptions": [
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "SSLCertificateId": "ARN", 
                        "LoadBalancerPort": 443, 
                        "Protocol": "HTTPS", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": [
                        "my-SSLNegotiation-policy"
                    ]
                }, 
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "LoadBalancerPort": 80, 
                        "Protocol": "HTTP", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": []
                }
            ],
            ...
        }
    ]
}

Utilice el siguiente comando para recuperar la clave pública:

openssl x509 -in your X509 certificate PublicKey -pubkey -noout

Usa el siguiente create-load-balancer-policycomando para crear una política de clave pública:

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer --policy-name my-PublicKey-policy \
--policy-type-name PublicKeyPolicyType --policy-attributes AttributeName=PublicKey,AttributeValue=MIICiTCCAfICCQD6m7oRw0uXOjANBgkqhkiG9w
 0BAQUFADCBiDELMAkGA1UEBhMCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZ
 WF0dGxlMQ8wDQYDVQQKEwZBbWF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIw
 EAYDVQQDEwlUZXN0Q2lsYWMxHzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5
 jb20wHhcNMTEwNDI1MjA0NTIxWhcNMTIwNDI0MjA0NTIxWjCBiDELMAkGA1UEBh
 MCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZWF0dGxlMQ8wDQYDVQQKEwZBb
 WF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIwEAYDVQQDEwlUZXN0Q2lsYWMx
 HzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5jb20wgZ8wDQYJKoZIhvcNAQE
 BBQADgY0AMIGJAoGBAMaK0dn+a4GmWIWJ21uUSfwfEvySWtC2XADZ4nB+BLYgVI
 k60CpiwsZ3G93vUEIO3IyNoH/f0wYK8m9TrDHudUZg3qX4waLG5M43q7Wgc/MbQ
 ITxOUSQv7c7ugFFDzQGBzZswY6786m86gpEIbb3OhjZnzcvQAaRHhdlQWIMm2nr
 AgMBAAEwDQYJKoZIhvcNAQEFBQADgYEAtCu4nUhVVxYUntneD9+h8Mg9q6q+auN
 KyExzyLwaxlAoo7TJHidbtS4J5iNmZgXL0FkbFFBjvSfpJIlJ00zbhNYS5f6Guo
 EDmFJl0ZxBHjJnyp378OD8uTs7fLvjx79LjSTbNYiytVbZPQUQ5Yaxu2jXnimvw
 3rrszlaEXAMPLE=

Use el siguiente create-load-balancer-policycomando para crear una política de autenticación de instancias de back-end mediante. my-PublicKey-policy

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer --policy-name my-authentication-policy --policy-type-name BackendServerAuthenticationPolicyType --policy-attributes AttributeName=PublicKeyPolicyName,AttributeValue=my-PublicKey-policy

Si lo desea, también puede utilizar varias políticas de clave pública. El equilibrador de carga prueba todas las claves de una en una. Si la clave pública que presenta una instancia coincide con una de estas claves públicas, la instancia queda autenticada.

Usa el siguiente for-backend-server comando set-load-balancer-policies: para establecer el puerto my-authentication-policy de la instancia para HTTPS. En este ejemplo, este puerto es el 443.

aws elb set-load-balancer-policies-for-backend-server --load-balancer-name my-loadbalancer --instance-port 443 --policy-names my-authentication-policy

(Opcional) Usa el siguiente describe-load-balancer-policiescomando para enumerar todas las políticas de tu balanceador de carga:

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer

(Opcional) Usa el siguiente describe-load-balancer-policiescomando para ver los detalles de la política:

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-names my-authentication-policy