使用CLB部署HTTPS业务（双向认证）

配置步骤

本指南中使用自签名的CA证书为客户端证书签名，完成以下操作配置HTTPS监听（双向认证）：

前提条件

• 您已创建了CLB实例。

• 您已经创建了后端服务器ECS01和ECS02，并部署了2个不同的应用服务。

步骤一：购买服务器证书

您可以从阿里云数字证书管理服务控制台购买服务器证书或者在其他服务商处购买服务器证书。您可以通过浏览器检查服务器发送的证书是否是由自己信赖的中心签发的。

步骤二：使用OpenSSL生成CA证书

登录到任意一台安装有OpenSSL工具的Linux机器。

1. 执行以下命令，创建根CA证书私钥。

   openssl genrsa -out root.key 4096

2. 执行以下命令，创建根CA证书请求文件。

   openssl req -new -out root.csr -key root.key

   后续参数请自行填写，示例如下：

   说明

   注意CA证书Common Name需要保证唯一性，不要与服务端证书或者客户端证书的Common Name相同。

   Country Name (2 letter code) [XX]:cn
   State or Province Name (full name) []:bj
   Locality Name (eg, city) [Default City]:bj
   Organization Name (eg, company) [Default Company Ltd]:alibaba
   Organizational Unit Name (eg, section) []:test
   Common Name (eg, your name or your servers hostname) []:root
   Email Address []:a.alibaba.com
   A challenge password []:
   An optional company name []:

3. 执行以下命令，创建根CA证书。

   openssl x509 -req -in root.csr -out root.crt -signkey root.key -CAcreateserial -days 3650

   运行结果如下图所示：

4. 执行ls命令，可查看到生成的根CA证书root.crt和根CA证书私钥root.key。

步骤三：生成客户端证书

1. 执行以下命令，生成客户端证书密钥。

openssl genrsa -out client.key 4096

2. 执行以下命令，生成客户端证书请求文件。Common Name需要配置为您的域名。

openssl req -new -out client.csr -key client.key

3. 执行以下命令，生成客户端证书。

openssl x509 -req -in client.csr -out client.crt -signkey client.key -CA root.crt -CAkey root.key -CAcreateserial -days 3650

4. 执行以下命令，将生成的客户端证书client.crt转换为浏览器可以识别的PKCS12文件。按照提示输入设置的客户端私钥加密密码。

openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.p12

5. 执行ls命令，可查看到生成的client.key、client.crt、client.p12客户端证书文件。

步骤四：安装客户端证书

将生成的客户端证书安装到客户端。

步骤五：上传服务器证书和CA证书

1. 登录传统型负载均衡CLB控制台。

2. 在左侧导航栏，选择传统型负载均衡 CLB > 证书管理，然后单击创建证书，上传服务器证书。

3. 在创建证书面板，单击上传非阿里云签发证书，完成以下配置，然后单击创建。

   配置	说明
   证书名称	输入证书名称。
   证书类型	本文选择服务器证书。
   公钥证书	复制服务器证书内容。
   私钥	复制服务器证书的私钥内容。
   证书部署地域	选择CLB实例所属地域。

4. 在证书管理页面，单击创建证书，上传CA证书。

5. 在创建证书面板，单击上传非阿里云签发证书，完成以下配置，然后单击创建。

   配置	说明
   证书名称	输入证书名称。
   证书类型	本文选择CA证书。
   客户端CA公钥证书	上传客户端CA公钥证书。
   证书部署地域	选择CLB实例所属地域。

步骤六：配置HTTPS双向认证监听

1. 登录传统型负载均衡CLB控制台。

2. 单击已创建的负载均衡实例ID。

3. 在监听页签下，单击添加监听。

4. 在协议&监听页签下，完成以下配置，然后单击下一步。

   • 选择监听协议：HTTPS

   • 监听端口：443

5. 在SSL证书页签下，选择已上传的服务器证书。

6. 单击高级设置后面的修改，启用双向认证，选择已上传的CA证书，然后单击下一步。

7. 选择默认服务器组，单击添加，添加后端服务器。

8. 其他参数保持默认值，单击下一步至提交，完成监听配置。

步骤七：测试HTTPS双向认证

sudo curl --cert /home/ca/client.crt --key /home/ca/client.key --cacert /home/ca/ca.crt https://<服务器证书绑定的域名>:<端口>