文档首页> 弹性负载均衡 ELB> 用户指南> 独享型用户指南> 安全管理> TLS安全策略
更新时间：2024-04-11 GMT+08:00
查看PDF
分享

TLS安全策略

对于银行，金融类等需要加密传输的应用，通常会配置HTTPS加密以确保数据的安全传输。弹性负载均衡默认支持部分常用的TLS安全策略来满足您的安全加密需求。

在创建和配置HTTPS监听器时，您可以选择使用合适的默认安全策略，或者创建自定义策略，来提高您的业务安全性。

TLS安全策略包含TLS协议版本和配套的加密算法套件。

默认安全策略

TLS协议版本越高，加密通信的安全性越高，但是相较于低版本TLS协议，高版本TLS协议对浏览器的兼容性较差。

表1 默认安全策略参数说明

名称

说明

支持的TLS版本类型

使用的加密套件列表

TLS-1-0

兼容性好，安全性低。

TLS 1.2

TLS 1.1

TLS 1.0
  • ECDHE-RSA-AES256-GCM-SHA384
  • ECDHE-RSA-AES128-GCM-SHA256
  • ECDHE-ECDSA-AES256-GCM-SHA384
  • ECDHE-ECDSA-AES128-GCM-SHA256
  • AES128-GCM-SHA256
  • AES256-GCM-SHA384
  • ECDHE-ECDSA-AES128-SHA256
  • ECDHE-RSA-AES128-SHA256
  • AES128-SHA256
  • AES256-SHA256
  • ECDHE-ECDSA-AES256-SHA384
  • ECDHE-RSA-AES256-SHA384
  • ECDHE-ECDSA-AES128-SHA
  • ECDHE-RSA-AES128-SHA
  • ECDHE-RSA-AES256-SHA
  • ECDHE-ECDSA-AES256-SHA
  • AES128-SHA
  • AES256-SHA

TLS-1-1

兼容性较好，安全性中。

TLS 1.2

TLS 1.1

TLS-1-2

兼容性较好，安全性高。

TLS 1.2

tls-1-0-inherit

兼容性好，安全性低。

TLS 1.2

TLS 1.1

TLS 1.0
  • ECDHE-RSA-AES256-GCM-SHA384
  • ECDHE-RSA-AES128-GCM-SHA256
  • ECDHE-ECDSA-AES256-GCM-SHA384
  • ECDHE-ECDSA-AES128-GCM-SHA256
  • AES128-GCM-SHA256
  • AES256-GCM-SHA384
  • ECDHE-ECDSA-AES128-SHA256
  • ECDHE-RSA-AES128-SHA256
  • AES128-SHA256
  • AES256-SHA256
  • ECDHE-ECDSA-AES256-SHA384
  • ECDHE-RSA-AES256-SHA384
  • ECDHE-ECDSA-AES128-SHA
  • ECDHE-RSA-AES128-SHA
  • DHE-RSA-AES128-SHA
  • ECDHE-RSA-AES256-SHA
  • ECDHE-ECDSA-AES256-SHA
  • AES128-SHA
  • AES256-SHA
  • DHE-DSS-AES128-SHA
  • CAMELLIA128-SHA
  • EDH-RSA-DES-CBC3-SHA
  • DES-CBC3-SHA
  • ECDHE-RSA-RC4-SHA
  • RC4-SHA
  • DHE-RSA-AES256-SHA
  • DHE-DSS-AES256-SHA
  • DHE-RSA-CAMELLIA256-SHA

TLS-1-2-Strict

兼容性一般，安全性高。

TLS 1.2
  • ECDHE-RSA-AES256-GCM-SHA384
  • ECDHE-RSA-AES128-GCM-SHA256
  • ECDHE-ECDSA-AES256-GCM-SHA384
  • ECDHE-ECDSA-AES128-GCM-SHA256
  • AES128-GCM-SHA256
  • AES256-GCM-SHA384
  • ECDHE-ECDSA-AES128-SHA256
  • ECDHE-RSA-AES128-SHA256
  • AES128-SHA256
  • AES256-SHA256
  • ECDHE-ECDSA-AES256-SHA384
  • ECDHE-RSA-AES256-SHA384

TLS-1-0-WITH-1-3

兼容性最好，安全性低。

TLS 1.3

TLS 1.2

TLS 1.1

TLS 1.0
  • ECDHE-RSA-AES256-GCM-SHA384
  • ECDHE-RSA-AES128-GCM-SHA256
  • ECDHE-ECDSA-AES256-GCM-SHA384
  • ECDHE-ECDSA-AES128-GCM-SHA256
  • AES128-GCM-SHA256
  • AES256-GCM-SHA384
  • ECDHE-ECDSA-AES128-SHA256
  • ECDHE-RSA-AES128-SHA256
  • AES128-SHA256
  • AES256-SHA256
  • ECDHE-ECDSA-AES256-SHA384
  • ECDHE-RSA-AES256-SHA384
  • ECDHE-ECDSA-AES128-SHA
  • ECDHE-RSA-AES128-SHA
  • ECDHE-RSA-AES256-SHA
  • ECDHE-ECDSA-AES256-SHA
  • AES128-SHA
  • AES256-SHA
  • TLS_AES_128_GCM_SHA256
  • TLS_AES_256_GCM_SHA384
  • TLS_CHACHA20_POLY1305_SHA256
  • TLS_AES_128_CCM_SHA256
  • TLS_AES_128_CCM_8_SHA256

TLS-1-2-FS-WITH-1-3

兼容性较好，安全性最高。

TLS 1.3

TLS 1.2
  • ECDHE-RSA-AES256-GCM-SHA384
  • ECDHE-RSA-AES128-GCM-SHA256
  • ECDHE-ECDSA-AES256-GCM-SHA384
  • ECDHE-ECDSA-AES128-GCM-SHA256
  • ECDHE-ECDSA-AES128-SHA256
  • ECDHE-RSA-AES128-SHA256
  • ECDHE-ECDSA-AES256-SHA384
  • ECDHE-RSA-AES256-SHA384
  • TLS_AES_128_GCM_SHA256
  • TLS_AES_256_GCM_SHA384
  • TLS_CHACHA20_POLY1305_SHA256
  • TLS_AES_128_CCM_SHA256
  • TLS_AES_128_CCM_8_SHA256

TLS-1-2-FS

兼容性一般，安全性最高。

TLS 1.2
  • ECDHE-RSA-AES256-GCM-SHA384
  • ECDHE-RSA-AES128-GCM-SHA256
  • ECDHE-ECDSA-AES256-GCM-SHA384
  • ECDHE-ECDSA-AES128-GCM-SHA256
  • ECDHE-ECDSA-AES128-SHA256
  • ECDHE-RSA-AES128-SHA256
  • ECDHE-ECDSA-AES256-SHA384
  • ECDHE-RSA-AES256-SHA384

hybrid-policy-1-0

兼容性较好，安全性中。

TLS 1.2

TLS 1.1
  • ECDHE-RSA-AES256-GCM-SHA384
  • ECDHE-RSA-AES128-GCM-SHA256
  • ECDHE-ECDSA-AES256-GCM-SHA384
  • ECDHE-ECDSA-AES128-GCM-SHA256
  • AES128-GCM-SHA256
  • AES256-GCM-SHA384
  • ECDHE-ECDSA-AES128-SHA256
  • ECDHE-RSA-AES128-SHA256
  • AES128-SHA256
  • AES256-SHA256
  • ECDHE-ECDSA-AES256-SHA384
  • ECDHE-RSA-AES256-SHA384
  • ECDHE-ECDSA-AES128-SHA
  • ECDHE-RSA-AES128-SHA
  • ECDHE-RSA-AES256-SHA
  • ECDHE-ECDSA-AES256-SHA
  • AES128-SHA
  • AES256-SHA
  • ECC-SM4-SM3
  • ECDHE-SM4-SM3

tls-1-2-strict-no-cbc

兼容性一般，安全性高。

TLS 1.2
  • ECDHE-ECDSA-AES256-GCM-SHA384
  • ECDHE-ECDSA-AES128-GCM-SHA256
  • ECDHE-RSA-AES256-GCM-SHA384
  • ECDHE-RSA-AES128-GCM-SHA256

上述列表为ELB支持的加密套件，同时客户端也支持多个加密套件，这样在实际使用时，加密套件的选择范围为：ELB和客户端支持的加密套件的交集，加密套件的选择顺序为：ELB支持的加密套件顺序。

默认安全策略差异对比

表2 安全策略差异说明

安全策略

tls-1-0

tls-1-1

tls-1-2

tls-1-0-inherit

tls-1-2-strict

tls-1-0-with-1-3

tls-1-2-fs-with-1-3

tls-1-2-fs

hybrid-policy-1-0

TLS 协议

Protocol-TLS 1.3

-

-

-

-

-

√

√

√

-

Protocol-TLS 1.2

√

√

√

√

√

√

√

√

√

Protocol-TLS 1.1

√

√

-

√

-

√

-

-

√

Protocol-TLS 1.0

√

-

-

√

-

√

-

-

-

加密套件

EDHE-RSA-AES128-GCM-SHA256

√

√

√

-

√

-

-

-

-

ECDHE-RSA-AES256-GCM-SHA384

√

√

√

√

√

√

√

√

√

ECDHE-RSA-AES128-SHA256

√

√

√

√

√

√

√

√

√

ECDHE-RSA-AES256-SHA384

√

√

√

√

√

√

√

√

√

AES128-GCM-SHA256

√

√

√

√

√

√

-

-

√

AES256-GCM-SHA384

√

√

√

√

√

√

-

-

√

AES128-SHA256

√

√

√

√

√

√

-

-

√

AES256-SHA256

√

√

√

√

√

√

-

-

√

ECDHE-RSA-AES128-SHA

√

√

√

√

-

√

-

-

√

ECDHE-RSA-AES256-SHA

√

√

√

√

-

√

-

-

√

AES128-SHA

√

√

√

√

-

√

-

-

√

AES256-SHA

√

√

√

√

-

√

-

-

√

ECDHE-ECDSA-AES128-GCM-SHA256

√

√

√

√

√

√

√

√

√

ECDHE-ECDSA-AES128-SHA256

√

√

√

√

√

√

√

√

√

ECDHE-ECDSA-AES128-SHA

√

√

√

√

-

√

-

-

√

ECDHE-ECDSA-AES256-GCM-SHA384

√

√

√

√

√

√

√

√

√

ECDHE-ECDSA-AES256-SHA384

√

√

√

√

√

√

√

√

√

ECDHE-ECDSA-AES256-SHA

√

√

√

√

-

√

-

-

√

ECDHE-RSA-AES128-GCM-SHA256

-

-

-

√

-

√

√

√

√

TLS_AES_256_GCM_SHA384

-

-

-

-

-

√

√

√

-

TLS_CHACHA20_POLY1305_SHA256

-

-

-

-

-

√

√

√

-

TLS_AES_128_GCM_SHA256

-

-

-

-

-

√

√

√

-

TLS_AES_128_CCM_8_SHA256

-

-

-

-

-

√

√

√

-

TLS_AES_128_CCM_SHA256

-

-

-

-

-

√

√

√

-

DHE-RSA-AES128-SHA

-

-

-

√

-

-

-

-

-

DHE-DSS-AES128-SHA

-

-

-

√

-

-

-

-

-

CAMELLIA128-SHA

-

-

-

√

-

-

-

-

-

EDH-RSA-DES-CBC3-SHA

-

-

-

√

-

-

-

-

-

DES-CBC3-SHA

-

-

-

√

-

-

-

-

-

ECDHE-RSA-RC4-SHA

-

-

-

√

-

-

-

-

-

RC4-SHA

-

-

-

√

-

-

-

-

-

DHE-RSA-AES256-SHA

-

-

-

√

-

-

-

-

-

DHE-DSS-AES256-SHA

-

-

-

√

-

-

-

-

-

DHE-RSA-CAMELLIA256-SHA

-

-

-

√

-

-

-

-

-

ECC-SM4-SM3

-

-

-

-

-

-

-

-

√

ECDHE-SM4-SM3

-

-

-

-

-

-

-

-

√

为HTTPS监听器添加安全策略

  1. 登录管理控制台。
  2. 在管理控制台左上角单击图标，选择区域和项目。
  3. 单击页面左上角的，选择“网络 > 弹性负载均衡”。
  4. 在“负载均衡器”界面，单击需要创建安全策略的监听器的负载均衡器名称。
  5. 在该负载均衡界面的“监听器”区域，单击“添加监听器”。
  6. 在“添加监听器”界面，前端协议选择“HTTPS”。
  7. 在“添加监听器”界面，选择“高级配置 > 安全策略”。

    支持选择默认安全策略或自定义策略。

    如果列表中无自定义策略，您可以选择创建自定义策略。

  8. 配置完成，单击“确定”。

为HTTPS监听器修改安全策略

  1. 登录管理控制台。
  2. 在管理控制台左上角单击图标，选择区域和项目。
  3. 单击页面左上角的，选择“网络 > 弹性负载均衡”。
  4. 在“负载均衡器”界面，单击需要修改安全策略的监听器的负载均衡器名称。
  5. 切换至“监听器”页签，单击需要修改安全策略的监听器名称。
  6. 在监听器的基本信息页面，单击“编辑监听器”。
  7. 在“编辑监听器”界面，展开高级配置，选择安全策略参数。
  8. 单击“确定”。

创建自定义策略

  1. 登录管理控制台。
  2. 在管理控制台左上角单击图标，选择区域和项目。
  3. 单击页面左上角的，选择“网络 > 弹性负载均衡”。
  4. 单击页面左边的“TLS安全策略”。
  5. 在TLS安全策略页面，单击页面右上角的“创建自定义策略”。
  6. 配置自定义策略参数，参数说明参见表3。
    表3 自定义策略参数说明

    参数

    说明

    名称

    自定义策略的名称。

    选择协议版本

    自定义策略支持的TLS协议版本类型。支持选择多个协议版本。

    包含：

    • TLS 1.0
    • TLS 1.1
    • TLS 1.2
    • TLS 1.3

    选择加密算法套件

    选择与协议版本配套的加密算法套件。支持选择多个加密算法套件。

    描述

    自定义策略相关信息的描述说明。
  7. 确认参数配置，单击“确定”。

修改自定义安全策略

您可跟根据使用需求对创建完成的自定义安全策略进行修改。

  1. 登录管理控制台。
  2. 在管理控制台左上角单击图标，选择区域和项目。
  3. 单击页面左上角的，选择“网络 > 弹性负载均衡”。
  4. 单击页面左边的“TLS安全策略”。
  5. 在TLS安全策略页面，待修改的自定义安全策略所在行的操作列，单击“修改“。
  6. 在“修改自定义安全策略“弹窗，修改自定义安全策略，参数说明参见表3。
  7. 确认参数配置，单击“确定”。

删除自定义安全策略

您可对创建完成的自定义安全策略进行删除。

如果自定义安全策略已被关联监听器使用，则无法执行删除，请先修改关联监听器的安全策略。

  1. 登录管理控制台。
  2. 在管理控制台左上角单击图标，选择区域和项目。
  3. 单击页面左上角的，选择“网络 > 弹性负载均衡”。
  4. 单击左侧导航栏的“TLS安全策略”。
  5. 在TLS安全策略页面，待删除的自定义安全策略所在行的操作列，单击“删除“。
  6. 在确认删除弹窗，单击“是“。
父主题： 安全管理
分享：

    相关文档

    相关产品