aws ecs 上 docker 容器中的 ssl 重定向

Question

我有一个前端 Angular 应用程序在 aws ecs ec2 的 nginx docker 容器中运行。这是一个 saas 产品，其他第三方域名将指向这个前端 docker 容器。我已经为该目标组设置了默认规则，但我想知道如何为每个域设置 ssl。 ALB 目前仅支持 100 条侦听器规则，即实际上每个侦听器将只有 50 条规则（考虑 80 和 443）

30 条规则已被后端 api 填充。

如果我有 150 个域需要指向这个前端，我该如何设置 ssl？如果我在 nginx 的 80 端口 vhost 中设置 301 重定向，比如

return 301 https://$host$request_uri

请求将再次传递到应用程序负载平衡器端口 443，它将采用默认 ssl，并可能导致 ssl 错误。我们有没有机会在不返回应用程序负载均衡器的端口 443 的情况下进行 nginx https 重定向？或任何其他方法？我认为多域 ssl 证书是这里的一个选项，以便将其作为负载均衡器上的默认 ssl。

Answer 1

AWS 负载均衡器现在支持 SSL 重定向，因此您不必在容器上执行此操作。

此外，您的 443 侦听器可以添加多个证书。因此，只需将所有证书添加到负载均衡器上的 443 侦听器即可。

然后在您的 443 侦听器规则中，只需一条规则：

• IF：否则未路由的请求
• 那么：
  • HTTPS，端口 443
  • 重定向到“原始主机、路径、查询”
  • “301 - 永久移动”作为状态

现在，您的所有 http 请求都将通过重定向回 HTTPS 发送回用户，而无需访问您的容器或 nginx。当它们以 HTTPS 形式返回时，AWS ALB 拥有所有证书。

如果您遇到负载均衡器的限制，您可能必须将它们“分块”为 2 或 3 个 ALB，但我发现这更容易管理，尤其是在证书更改时间到来时。

Answer 2

您是否有权访问所有这些域的 SSL 证书？如果是，您可以在 nginx 容器中配置它们。使用网络负载均衡器而不是 ALB，并在端口 443 上添加一个 TCP 侦听器，该侦听器不会终止 SSL，并将流量重定向到将终止证书的 nginx 容器。

您还可以动态重新加载 nginx 配置以动态设置证书。