TLS安全策略

操作场景

对于银行，金融类加密传输的应用 ，在创建和配置HTTPS监听器时，您可以选择使用安全策略，可以提高您的业务安全性。安全策略包含TLS协议版本和配套的加密算法套件。

• 独享型负载均衡：支持选择默认安全策略或创建自定义策略。
• 共享型负载均衡：仅支持选择默认安全策略。

添加安全策略

1. 登录管理控制台。
2. 在管理控制台左上角单击图标，选择区域和项目。
3. 单击页面左上角的，选择“网络 > 弹性负载均衡”。
4. 在“负载均衡器”界面，单击需要创建安全策略的监听器的负载均衡器名称。
5. 在该负载均衡界面的“监听器”区域，单击“添加监听器”。
6. 在“添加监听器”界面，前端协议选择“HTTPS”。
7. 在“添加监听器”界面，选择“高级配置 > 安全策略”。
   支持选择默认策略或自定义策略。如果列表中无自定义策略，您可以选择创建自定义策略。默认策略如表1所示。

   表1 默认安全策略参数说明

   名称	说明	支持的TLS版本类型	使用的加密套件列表
   TLS-1-0	支持TLS 1.0、TLS 1.1、TLS 1.2版本与相关加密套件，兼容性好，安全性低。	TLS 1.2 TLS 1.1 TLS 1.0	ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-GCM-SHA256 AES128-GCM-SHA256 AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256 AES128-SHA256 AES256-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA ECDHE-ECDSA-AES256-SHA AES128-SHA AES256-SHA
   TLS-1-1	支持TLS 1.1、TLS 1.2版本与相关加密套件，兼容性较好，安全性中。	TLS 1.2 TLS 1.1
   TLS-1-2	支持TLS 1.2版本与相关加密套件，兼容性较好，安全性高。	TLS 1.2
   tls-1-0-inherit	支持TLS 1.0、TLS 1.1、TLS 1.2版本与相关加密套件，兼容性好，安全性低。	TLS 1.2 TLS 1.1 TLS 1.0	ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-GCM-SHA256 AES128-GCM-SHA256 AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256 AES128-SHA256 AES256-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-RSA-AES128-SHA DHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA ECDHE-ECDSA-AES256-SHA AES128-SHA AES256-SHA DHE-DSS-AES128-SHA CAMELLIA128-SHA EDH-RSA-DES-CBC3-SHA DES-CBC3-SHA ECDHE-RSA-RC4-SHA RC4-SHA DHE-RSA-AES256-SHA DHE-DSS-AES256-SHA DHE-RSA-CAMELLIA256-SHA
   TLS-1-2-Strict	支持TLS 1.2版本与相关加密套件，兼容性一般，安全性高。	TLS 1.2	ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-GCM-SHA256 AES128-GCM-SHA256 AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256 AES128-SHA256 AES256-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES256-SHA384
   TLS-1-0-WITH-1-3（独享型实例）	支持TLS 1.0及以上版本与相关加密套件，兼容性最好，安全性低。	TLS 1.3 TLS 1.2 TLS 1.1 TLS 1.0	ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-GCM-SHA256 AES128-GCM-SHA256 AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256 AES128-SHA256 AES256-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA ECDHE-ECDSA-AES256-SHA AES128-SHA AES256-SHA TLS_AES_128_GCM_SHA256 TLS_AES_256_GCM_SHA384 TLS_CHACHA20_POLY1305_SHA256 TLS_AES_128_CCM_SHA256 TLS_AES_128_CCM_8_SHA256
   TLS-1-2-FS-WITH-1-3（独享型实例）	支持TLS 1.2及以上版本与前向安全相关的加密套件，兼容性较好，安全性最高。	TLS 1.3 TLS 1.2	ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES256-SHA384 TLS_AES_128_GCM_SHA256 TLS_AES_256_GCM_SHA384 TLS_CHACHA20_POLY1305_SHA256 TLS_AES_128_CCM_SHA256 TLS_AES_128_CCM_8_SHA256
   TLS-1-2-FS（独享型实例）	支持TLS 1.2版本与前向安全相关的加密套件，兼容性一般，安全性最高。	TLS 1.2	ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES256-SHA384
   hybrid-policy-1-0（独享型实例）	支持TLS 1.1、TLS 1.2版本与相关加密套件，兼容性较好，安全性中。	TLS 1.2 TLS 1.1	ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-GCM-SHA256 AES128-GCM-SHA256 AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256 AES128-SHA256 AES256-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA ECDHE-ECDSA-AES256-SHA AES128-SHA AES256-SHA ECC-SM4-SM3 ECDHE-SM4-SM3
   tls-1-2-strict-no-cbc（独享型实例）	支持TLS 1.2版本与不含CBC模式的加密套件，兼容性一般，安全性高。	TLS 1.2	ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-GCM-SHA256

   

   • 安全策略“TLS-1-0-WITH-1-3”、“TLS-1-2-FS-WITH-1-3”、“TLS-1-2-FS”、“hybrid-policy-1-0”、“tls-1-2-strict-no-cbc”目前仅支持独享型实例。
   • 目前，独享型负载均衡安全策略最高支持TLS 1.3协议，共享型负载均衡安全策略最高支持TLS 1.2协议。
   • 上述列表为ELB支持的加密套件，同时客户端也支持多个加密套件，这样在实际使用时，加密套件的选择范围为：ELB和客户端支持的加密套件的交集，加密套件的选择顺序为：ELB支持的加密套件顺序。
8. 配置完成，单击“确定”。

安全策略差异说明

创建自定义策略

1. 登录管理控制台。
2. 在管理控制台左上角单击图标，选择区域和项目。
3. 单击页面左上角的，选择“网络 > 弹性负载均衡”。
4. 单击页面左边的“TLS安全策略”。
5. 在TLS安全策略页面，单击页面右上角的“创建自定义策略”。
6. 配置自定义策略参数，参数说明参见表3。

   表3 自定义策略参数说明

   参数	说明	样例
   名称	自定义策略的名称。	tls-test
   选择协议版本	自定义策略支持的TLS协议版本类型。支持选择多个协议版本。 包含： TLS 1.0 TLS 1.1 TLS 1.2 TLS 1.3	-
   选择加密算法套件	选择与协议版本配套的加密算法套件。支持选择多个加密算法套件。	-
   描述	自定义策略相关信息的描述说明。	-

7. 确认参数配置，单击“确定”。

修改自定义安全策略

您可根据使用需求对创建完成的自定义安全策略进行修改。

1. 登录管理控制台。
2. 在管理控制台左上角单击图标，选择区域和项目。
3. 单击页面左上角的，选择“网络 > 弹性负载均衡”。
4. 单击页面左边的“TLS安全策略”。
5. 在TLS安全策略页面，待修改的自定义安全策略所在行的操作列，单击“修改“。
6. 在“修改自定义安全策略“弹窗，修改自定义安全策略，参数说明参见表3。
7. 确认参数配置，单击“确定”。

删除自定义安全策略

您可对创建完成的自定义安全策略进行删除。

1. 登录管理控制台。
2. 在管理控制台左上角单击图标，选择区域和项目。
3. 单击页面左上角的，选择“网络 > 弹性负载均衡”。
4. 单击左侧导航栏的“TLS安全策略”。
5. 在TLS安全策略页面，待删除的自定义安全策略所在行的操作列，单击“删除“。
6. 在确认删除弹窗，单击“是“。

修改安全策略

修改安全策略时，后端服务器需要放通安全组，放开对ELB健康检查的限制（100.125IP的限制，UDP健康检查icmp报文的限制等），否则后端健康检查没上线，会影响业务。

1. 登录管理控制台。
2. 在管理控制台左上角单击图标，选择区域和项目。
3. 单击页面左上角的，选择“网络 > 弹性负载均衡”。
4. 在“负载均衡器”界面，单击需要修改安全策略的监听器的负载均衡器名称。
5. 切换至“监听器”页签，单击需要修改安全策略的监听器名称。
6. 在监听器的基本信息页面，单击“编辑监听器”。
7. 在“编辑监听器”界面，展开高级配置，选择安全策略参数。
8. 单击“确定”。