阿里云云计算ACP实验考试之使用负载均衡实现https与http的混合访问

精选30+云产品，助力企业轻松上云！>>>实验概述...

Coding路人王

2112人浏览 · 2020-07-06 08:58:00

Coding路人王 · 2020-07-06 08:58:00 发布

实验概述

互联网巨头雅虎官方对外发布消息，承认在2014年的一次黑客袭击中，至少5亿用户的数据信息遭窃。此次事件让我们再次意识到网站安全的重要性，网站加密防护的必要性。我们可以使用HTTPS协议对网站进行全站加密，但是，大部分用户已经习惯直接输入域名（即使用 HTTP 协议）访问网站。因此，企业需要将用户的 HTTP 请求转化为 HTTPS 请求进行访问。这个问题在传统的 IT 架构中已经得到解决，但是在云上如何解决 HTTP 与 HTTPS 的混合访问？

本实验使用负载均衡配置监听，利用Nginx实现HTTP请求向HTTPS请求的转化，从而完成HTTP和HTTPS的混合访问。

HTTP请求转化为HTTPS请求架构图在这里插入图片描述

实验目标

完成此实验后，可以掌握的能力有：

1）使用负载均衡配置HTTP和HTTPS监听，支持HTTP请求和HTTPS请求的混合访问；

2）使用Nginx将HTTP请求转化为HTTPS请求；

一、实验背景

1.1 背景知识

HTTPS 协议 HTTPS 能够加密信息，以免敏感信息被第三方获取。所以很多银行网站或电子邮箱等等安全级别较高的服务都会采用 HTTPS 协议。

基本概念

HTTPS 是更安全的 HTTP 协议，它在 TCP（负责网络数据传输）和 HTTP层之间，增加了一个 SSL 层。这一层通过数字证书和加密算法对 HTTP 请求进行加密。已经采用 HTTP 协议的网站要过渡到 HTTPS，将在技术改造、服务器资源、流量资源上付出更多成本。

工作流程 HTTPS 其实是有两部分组成：HTTP + SSL / TLS，也就是在 HTTP 上又加了一层处理加密信息的模块。服务端和客户端的信息传输都会通过 TLS 进行加密，所以传输的数据都是加密后的数据。在这里插入图片描述负载均衡监听

负载均衡提供四层（TCP/UDP协议）和七层（HTTP/HTTPS协议）监听，您可根据应用场景选择监听协议：

负载均衡四层监听将请求直接转发到后端ECS实例，而且不修改标头。

负载均衡七层监听原理上是反向代理的一种实现，客户端HTTP请求到达负载均衡监听后，负载均衡服务器会通过与后端ECS建立TCP连接，即再次通过新TCP连接HTTP协议访问后端，而不是直接转发报文到后端ECS。在这里插入图片描述

二、实验详情

2.1 实验资源

在弹出的左侧栏中，点击创建资源按钮，开始创建实验资源。资源创建过程需要1-3分钟。完成实验资源的创建后，用户可以通过实验资源查看实验中所需的资源信息，例如：阿里云账号等。

2.2 使用HTTP请求查看网站服务器

本小节主要内容：直接通过 ECS 实例的 IP 地址，访问并查看已部署的 Web 网站。

通过如下步骤，查看实验资源中 Web服务器01 的网站信息：

1）点击左侧导航栏实验资源，并拷贝 Web服务器01 的外网地址。

2）新建一个浏览器页面，并输入 Web服务器01 的外网地址，浏览网站 LAB013 ROOM 。在这里插入图片描述

参考如上步骤，在浏览器中，输入 Web服务器02 的外网地址，并访问 Web服务器02 网站。
可以查看到两台服务器的内容完全一致。一般情况下，为了保证企业业务的持续性，企业会将生产环境部署到两台相同的服务器中。这样在高并发时，通过负载均衡可以将网站的流量分发到不同的服务器后端，从而提升用户体验。

2.3 负载均衡中添加HTTP和HTTPS监听

本小节主要内容：在负载均衡（SLB）中添加 HTTPS 和 HTTP 协议监听

首先，通过如下步骤，访问阿里云负载均衡（SLB）管理控制台：

1）点击页面左侧导航栏实验资源，并点击前往控制台。

2）在打开的阿里云 RAM用户登录页面中，分别输入实验资源中提供的子用户名称、子用户密码，并点击登录：

注意：若登录信息错误，请查看企业别名是否与实验资源提供的阿里云主账号企业别名相同。在这里插入图片描述 3）在阿里云管理控制台，点击顶部导航栏处的产品与服务，下拉列表中，依次选择云计算基础服务 ---> 弹性计算 ---> 负载均衡，进入负载均衡的管理控制台。 2. 通过如下步骤，进入实验资源提供的负载均衡实例的管理页面：

1）在实例管理页面，顶部的地址栏中，选择实验资源提供的地址，例如：华东1 。

2）在地址栏下面的搜索栏中，选择负载均衡ID ，并输入实验资源中负载均衡的实例ID ，点击搜索。

3）在搜索栏下，查看搜索结果，并点击实例右侧的管理，进入负载均衡实例的管理页面。在这里插入图片描述 3. 通过如下步骤，添加负载均衡的 HTTPS 协议的监听。

1）在负载均衡实例页面，点击下侧栏的监听。

2）在实例监听页面，点击右侧添加监听。在这里插入图片描述 3）在基本配置页面，配置如下信息：

前端协议［端口］：选择 HTTPS ，并填写端口号为 443 ；在这里插入图片描述服务器证书：选择已有服务器证书 lab-ca 。

说明：SLB 的服务器证书是本实验已提供的公共资源。SLB 的证书上传的具体操作步骤，请参考章节上传证书。在这里插入图片描述其余配置信息保持默认，完成如上配置后，点击下一步。通过添加，把提供的两台ECS服务器放到SLB资源池。确认后，在服务器后端，填写80，然后点击下一步说明：本实验中不会对添加的 ECS 实例进行健康检查，但是，在真实的工作环境中，强烈建议用户开启健康检查。健康检查的操作和使用，请参考实验 SL010 使用SLB实现持续性高并发访问。在这里插入图片描述 5）等待 3-5 秒，提示恭喜，监听配置成功，完成后，点击确认。 6）返回监听配置页面，查看到新建 HTTPS:443 监听的状态为运行中。此时，HTTPS协议监听添加成功。 4. 通过如下步骤，添加负载均衡的 HTTP 协议的监听。

1）再次点击页面下侧的添加监听。在这里插入图片描述 2）在基本配置页面，配置如下信息：

前端协议［端口］：选择 HTTP ，并填写端口号为 80 ；在这里插入图片描述后端服务器组，选择默认服务器组

后端协议［端口］：默认使用 HTTP ，填写端口号为 88 ；其余配置信息保持默认，完成如上配置后，点击下一步。在这里插入图片描述说明：本实验中使用 88 端口进行判定和转发的，在真实的工作环境中，用户请根据实际情况设置端口信息。

3）在健康检查配置中，关闭健康检查，完成后，点击确认。在这里插入图片描述 4）等待 1-3 秒，提示监听配置成功，完成后，点击确认。

5）在监听配置中，可以查看到新建监听 HTTP:80 。在这里插入图片描述

2.4 分别查看两种请求的访问效果

本小节主要内容：测试负载均衡的监听是否生效。

验证 HTTP 协议监听：在浏览器中新建一个页面，输入实验资源提供的负载均衡的 IP地址。此时，页面提示 502 错误。证明 HTTP 协议监听开启，但是无法正常访问网站。

说明：HTTP请求没有经过加密，需要在之后的的步骤中进行配置，将它转化为HTTPS请求才能够访问。在这里插入图片描述 2. 通过如下步骤，验证 HTTPS 协议监听：

1）在浏览器中，新建页面，并输入 https://xxx.xxx.xxx.xxx （其中 xxx.xxx.xxx.xxx 为实验资源提供的负载均衡的 IP地址）。

注意：必须输入 https:// ，否则会出现访问错误。

2）页面提示您的连接不是私密连接，点击页面下端的高级。

说明：由于本实验使用的是公共证书，因此会出现这样的提示。在真实的工作环境中，若上传到SLB的证书是有效的，则不会出现这样的提示。请参考章节：上传证书。在这里插入图片描述 3）展开信息提示证书的相关信息，点击继续前往xxx.xxx.xxx.xxx(不安全) 。 4）页面显示 LAB013 ROOM 网站，证明 HTTPS 监听配置成功，且用户可以通过 HTTPS 访问到后端服务器部署的网站

2.5 HTTP请求转化为HTTPS请求

本小节主要内容：通过重定向的方式将来自 HTTP 请求转发到 HTTPS，实现用户直接通过输入负载均衡 IP 地址就可以直接访问网站。

通过本地远程连接服务，远程登录到我的实验资源中的 Web服务器01 ECS实例。

说明：远程连接的详细操作步骤，请参考帮助文档。登录时，请使用实验资源提供的外网地址，用户和密码。在这里插入图片描述 2. 通过如下步骤，修改 Nginx 配置文件：将所有 88 端口请求，都转发到负载均衡的 HTTPS 协议的 IP 访问地址：

1）输入如下命令，进入 Nginx 配置文件的编辑页面。

vim /etc/nginx/nginx.conf

2）键盘输入 i ，进入编辑模式。

3）清空 85 行到 94 行的注释 # ，如下图所示：在这里插入图片描述 4）修改 rewrite 的参数信息，将 xxx.xxx.xxx.xxx 替换为实验资源提供的负载均衡的 IP地址。

说明：在真实的工作环境中，若使用域名访问，请将此处的 https://xxx.xxx.xxx.xxx 替换为 https 协议访问的域名。例如：https://lab.aliyunedu.net。在这里插入图片描述 5）完成如上修改后，在键盘中点击 esc ，退出编辑模式。

6）输入以下命令，保存并退出 nginx.conf 的编辑页面。

:wq

执行如下命令，重启Nginx。
service nginx restart
参考如上步骤，修改 Web服务器02 的信息。

1）登录到实验资源提供的 Web服务器02 。

2）修改 Nginx 配置文件

vim /etc/nginx/nginx.conf

在这里插入图片描述 3）重启 Nginx 服务器：

service nginx restart

完成如上配置后，通过如下步骤，验证通过负载均衡的 HTTP 访问网站，是否可以自动跳转到 HTTPS 访问：

1）在浏览器中，输入并访问负载均衡的 IP地址。

2）可以看到，直接跳转到 https 协议访问页面，点击继续访问。

说明：建议使用另一个浏览器查看结果，因为会由于页面的缓存问题，将不会显示下图所示的页面。在这里插入图片描述 3）页面显示 LAB013 ROOM 网站。

三、技能提升

3.1 购买服务器证书

本小节主要内容：在阿里云的证书服务，购买一个服务器证书。

说明：本章不提供实操资源，仅供阅读与学习。

通过如下步骤，购买一个阿里云的免费证书：

1）通过在阿里云管理台，进入证书服务的管理控制台。在这里插入图片描述 2）点击右上角的购买证书。 3）在证书购买页面，证书类型选择免费DV SSL 。 4）其余保持默认，完成后，点击立即购买。 5）点击去支付。 6）点击确认支付。 7）提示恭喜，支付成功，关闭购买页面。

返回证书服务管理控制台，在我的订单中，查看到新购买的证书状态为待完成。
通过如下步骤，在本地服务器上生成证书的 .csr 文件和 .key 文件。

1）在本地Linux操作系统的服务器中，执行如下命令，生成 2048 位的加密私钥。

openssl genrsa -out ca.key 2048

2）执行如下命令，生成证书签名请求（CSR）。

openssl req -new -key ca.key -out ca.csr

请参考下图，输入参数信息。

注意：Common Name 为服务器绑定的域名。

在这里插入图片描述 4. 通过如下步骤，补全阿里云上购买的证书信息：

1）返回阿里云证书服务的管理控制台，并点击新购证书右侧的补全。 2）在填写域名信息页面，输入证书绑定的域名，例如：lab.aliyunedu.net。点击下一步。在这里插入图片描述 3）在填写个人信息页面，输入个人信息。完成后，点击下一步。 4）在上传相关信息页面，选择自己生成CSR 。 5）在本地服务器中，输入如下命令，查看 ca.csr 文件内容。

cat ca.csr

在这里插入图片描述 6）粘贴 ca.csr 文件内容到请输入上传的CSR文件下方的文本框中。完成后，点击保存。 7）点击页面右下角的提交审核。 8）页面提示信息，点击确认。 9）此时，证书的状态变为审核中。 5. 通过如下步骤，签发新购证书。

1）等待一段时间，邮箱收到一封证书相关的邮件。查看主机记录和记录值。 2）进入域名解析页面，添加一条解析。

3）设置记录类型为 CNAME ，并输入拷贝的主机记录和记录值。

4）完成后，点击保存。在这里插入图片描述 5）返回证书服务管理控制台。等待一段时间，新购的证书状态将变为已签发，此时证书可用。 6. 点击证书右侧的下载，根据本地部署的服务器，获取相应的 .pem 格式证书内容，并查看证书的使用方法。在这里插入图片描述

3.2 上传证书

本小节主要内容：个人或企业已有一个可用的证书的前提下，将证书上传到负载均衡服务中。

通过如下步骤，进入负载均衡的证书管理页面。

1）在阿里云管理控制台，依次顶部导航栏处的产品与服务，并依次选择云计算基础服务 ---> 网络 ---> 负载均衡，进入负载均衡管理控制台。在这里插入图片描述 2）点击左侧栏的证书管理，进入证书管理页面。 2. 通过如下步骤，将证书上传到负载均衡服务中。

1）点击右上角的创建证书。在这里插入图片描述 2）输入证书名称，例如：test-ca。

3）勾选证书使用的地域，例如：华北2 等。

说明：可勾选多个地域，例如：华北2 ，华东1 。

4）证书类型选择服务器证书。在这里插入图片描述 5）证书内容输入证书的 .pem 格式文件内容。 6）私钥，输入证书的 .key 文件内容。 7）完成后，点击确认。 8）在证书管理页面，可以查看到证书的详细信息。 3. 最后，在绑定证书的域名中，添加负载均衡实例IP地址的解析，就可以实现 HTTPS 协议的加密访问。