如果 nginx 位於負載均衡器上的 ec2 實例中，只能使用 https 訪問，我是否需要在 nginx 本身上配置證書？

Question

我在負載均衡器上應用了證書，並且 https 工作正常，但我想知道是否需要將證書添加到 nginx 本身，這似乎有點矯枉過正，但我不確定。

Answer 1

不，您不必這樣做。 原因是您的負載平衡器 (LB) 將終止 https連接，使用您在其上部署的 SSL 證書對其進行解密，然后將 Z293C9EA246FF9985DC6F62A65ec20F78 實例轉發到您的連接。

因此，LB 與 HTTPS 的典型連接具有以下形式：

client ---(HTTPS)---->LB---(HTTP)--->EC2 instance

此配置適用於大多數用例，因為 HTTP 流量發生在AWS 私有網絡上，而不是通過 Internet。

Answer 2

不，使用負載均衡器的好處之一是您可以將您的 EC2 隱藏在公共互聯網上，使其不那么開放且更安全。

因此，通常的做法是在您的 EC2 和負載均衡器之間使用 HTTP，因為它們位於同一個 AWS 區域（安全且受信任的內部環境）。

通過這樣做，您還將提高性能，因為 https 網絡開銷僅在負載均衡器中執行一次，而不是兩次。 您的 EC2 會將 CPU 資源集中在運行應用程序邏輯上。

負載均衡器也是高度可用的，可以配置為與 CloudFront 和 WAF 一起使用，以實現安全和反 DDoS 控制。