【アップデート】暖機不要で固定IPの Network Load Balancer ( NLB ) がSNIで複数の証明書をサポートしました

#Elastic Load Balancing (ELB)

#AWS

Guri / Hajime Oguri

2019.09.13

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

大栗です。

Network Load Balancer(NLB)でSNIをサポートして、複数の証明書を設定できるようになりました。

Elastic Load Balancing: Network Load Balancers now support multiple TLS certificates using Server Name Indication (SNI)

SNI（Server Name Indication）とは

SNI（Server Name Indication）とはRFC 6066に記述されている仕様です。「Server Name Indication」つまりサーバ名表示のことです。SNI以前の仕様ではIPアドレス/ポートに対して一つのSSL/TLS証明書しか設定が行なえませんでした。SNIによりサーバ名ごとにSSL/TLS証明書を設定できるようになり、リクエストから証明書を適用するサーバ名が判断して適用するようになります。

HTTPSリクエストのホストヘッダーを見れば判断できるだろうと思われるかもしれませんが、HTTPSで暗号化されるため証明書を適用する前にはホスト名を判断できません。そこで、SSL/TLSハンドシェイクのプロセス中でホスト名を送信することで解決しています。クライアントからサーバへ初回アクセスする時のClient Helloの中にserver_nameと言う型のExtensionsを含めてアクセス先のホスト名（host_name）を通知します。サーバ側ではClient Hello（とクライアントへ返すServer Hello）の内容を元にSSL/TLSで通信するための暗号形式などを決定するので、SSL/TLSで暗号化する前にアクセス先のホスト名が判断でき適切な証明書を適用します。

（この章の内容はALBでSNIが対応したときの記事をそのまま持ってきました。。。）

試してみる

下図のような環境を考えてみます。

NLBにsni-1.example.comとsni-2.example.comの2個のドメインを設定します。同様にACMで各々の証明書をNLBに設定します。EC2側はPHPのphpinfo()でアクセス内容を表示します。

証明書の取得

ここでは証明書はACMで取得します。以下のエントリを参考に２つのドメインの証明書を発行してください。

Certificate Manager (ACM) がDNSの検証をサポートしました

EC2の設定

ここでは以下を前提とします。

リージョン：東京リージョン
OS： Amazon Linux 2 AMI (HVM), SSD Volume Type - ami-0ff21806645c5e492 (64 ビット x86)
インスタンスタイプ： t3.small
Webサーバ：Apache HTTP Server 2.4.39
PHP: 7.3.8

EC2のUserDataで以下のような内容を記載しておき、ApacheやPHPを導入します。

#!/bin/bash
yum install -y httpd
amazon-linux-extras install -y php7.3
cat <<EOF > /var/www/html/index.php
<?php
phpinfo(INFO_VARIABLES);
EOF
systemctl start php-fpm
systemctl start httpd

NLBの場合はロードバランサーへのアクセス許可はEC2のセキュリティグループの設定になるため、アクセス元からのポート443を許可しておきます。

ターゲットグループの作成

以下の内容でターゲットグループを作成します。

項目名	値	備考
ターゲットグループ名	php-target
プロトコル	TCP
ポート	80
ターゲットの種類	インスタンス
VPC	<EC2を設置したVPC>
ヘルスチェックの設定プロトコル	TCP
ヘルスチェックの設定ポート	トラフィックポート

作成したターゲットグループのターゲットとして2台のEC2を設定します。

NLBの作成

NLB（Network Load Balancer）を作成します。

1. ロードバランサーの設定

項目名	値	備考
名前	sni-nlb
スキーマ	インターネット向け
ロードバランサーのプロトコル	TLS(セキュア TCP)
ロードバランサーのポート	443
アベイラビリティゾーン	<対象VPCのパブリックなサブネット>

2. セキュリティ設定の構成

項目名	値	備考
証明書タイプ	ACM から証明書を選択する
証明書の名前	sni-1.example.com	デフォルトの証明書です
セキュリティポリシー	ELBSecurityPolicy-TLS-1-2-2017-01	安全なプロトコルのみを許可します

3. ルーティングの設定

項目名	値	備考
ターゲットグループ	既存のターゲットグループ
名前	sni-target
ターゲットの種類	インスタンス
プロトコル	TCP
ポート	80
ヘルスチェックプロトコル	TCP
ヘルスチェックの設定ポート	トラフィックポート