AWS ELB會在重定向的位置標頭中繼續顯示私有IP

Question

我們正在使用config.force_ssl = true運行一個簡單的Rails 4.0應用程序（在Ubuntu 14.04上）。 SSL上傳到我們的ELB，ELB上的443和80端口在服務器上轉發到80。

我們的PCI掃描失敗了，因為使用HTTP / 1.0，ELB的私有IP顯示在Location頭中。 關於如何解決這個問題的任何想法？ 我已經研究了好幾天，現在真的卡住了。

$ telnet app.ourwebsite.com 80
GET / HTTP/1.0

HTTP/1.1 301 Moved Permanently
...
*Location: https://172.31.26.236/*
Server: nginx/1.6.2 + Phusion Passenger 4.0.57
Set-Cookie: AWSELB=...

Answer 1

PCI合規性失敗的原因是因為正在使用的測試， nessus插件10759 ，使用HTTP 1.0並且不發送主機頭，並且AWS ELB在連接到您的實例時無論出於何種原因設置自己的主機頭它到負載均衡器的內部IP。

這是使用Apache的mod_forensics捕獲這樣的請求。 請注意主機頭，它設置為負載均衡器的內部IP：

+11143：551306af：1 | GET / HTTP / 1.1 |主機：10.3.2.57 | X-Forwarded-For：已刪除 | X-Forwarded-Port：443 | X-Forwarded-Proto：https |連接：keep-alive

這是請求的方式（使用bash在* nix上）：

(echo -ne "GET / HTTP/1.0\r\n\r\n"; sleep 2) | openssl s_client -connect 1.2.3.4:443

其中1.2.3.4是ELB的IP地址。 你必須像這樣制作請求，因為ELB不會接受\\ n \\ n直接鍵入openssl。

請注意，此處發送的唯一標頭是GET 。

我的網站沒有通過PCI掃描，導致我在這里，所以我覺得這需要進一步解釋。

Answer 2

聽起來你的ELB正在接收https然后轉發http。 所以你的Rails服務器不需要擔心SSL，因為它唯一與之通信的是ELB。

（這也是我們設置它的方式。）

因此，您可以從Rails服務器中刪除config.force_ssl = true ，並使您的ELB需要SSL。