第三方 WAF 背后的 AWS ALB（和 SSL 卸載）

Question

我在公共應用程序負載均衡器后面有一個正在運行的私有 EC2 實例（Windows Server 2012 IIS）。 雖然我可以通過端口 80/HTTP 訪問 Internet 中的 web 服務，但我也想允許 443/HTTPS，但我希望我的第三方 WAF 卸載 SSL（例如 Cloudflare、Akamai）。

我已經在 WAF 上設置了 SSL 卸載，在 AWS ALB 上我已啟用 ALB 安全組以允許端口 443/HTTPS 從 0.0.0.0/0 但無濟於事（盡管我仍然可以通過端口訪問 web 80/HTTP）。 如果您能指出我在 AWS ALB 中需要哪些步驟以允許 HTTPS 在 WAF 后面，我將不勝感激。 我還嘗試為 AWS ALB 創建一個 443 偵聽器，但它仍然需要我導入我的 SSL 證書，因此是多余的，因為實質上 ALB 也會卸載 SSL。

這是我設計 Cloudflare WAF ---> AWS ALB ----> Private EC2 Instances/Servers 的基本概述

非常感謝您的所有反饋！ 謝謝

Answer 1

要構建基礎架構，您應該從 ALB 中刪除 HTTPS(443) 偵聽器，並在第三方 WAF 和 ALB 之間使用 HTTP(80) 流量。

但是，WAF 和 ALB 之間的流量會以這種方式不安全。 我也在構建類似的基礎設施，並且仍在嘗試找出更安全的解決方案。