第三方 WAF 背后的 AWS ALB（和 SSL 卸载）

Question

我在公共应用程序负载均衡器后面有一个正在运行的私有 EC2 实例（Windows Server 2012 IIS）。 虽然我可以通过端口 80/HTTP 访问 Internet 中的 web 服务，但我也想允许 443/HTTPS，但我希望我的第三方 WAF 卸载 SSL（例如 Cloudflare、Akamai）。

我已经在 WAF 上设置了 SSL 卸载，在 AWS ALB 上我已启用 ALB 安全组以允许端口 443/HTTPS 从 0.0.0.0/0 但无济于事（尽管我仍然可以通过端口访问 web 80/HTTP）。 如果您能指出我在 AWS ALB 中需要哪些步骤以允许 HTTPS 在 WAF 后面，我将不胜感激。 我还尝试为 AWS ALB 创建一个 443 侦听器，但它仍然需要我导入我的 SSL 证书，因此是多余的，因为实质上 ALB 也会卸载 SSL。

这是我设计 Cloudflare WAF ---> AWS ALB ----> Private EC2 Instances/Servers 的基本概述

非常感谢您的所有反馈！ 谢谢

Answer 1

要构建基础架构，您应该从 ALB 中删除 HTTPS(443) 侦听器，并在第三方 WAF 和 ALB 之间使用 HTTP(80) 流量。

但是，WAF 和 ALB 之间的流量会以这种方式不安全。 我也在构建类似的基础设施，并且仍在尝试找出更安全的解决方案。