文档中心

负载均衡

最佳实践

TLS监听器双向认证

操作场景

当业务要求服务器和客户端均需要验证合法性时，可以开启双向认证。开启之后，除了客户端需要验证服务器的合法性外，服务器也需要验证客户端的合法性。

准备工作

创建一个VPC及子网。操作请参考创建私有网络。

在子网内创建一台IPv4的公网NLB实例和两台云服务器实例。操作请参考创建NLB实例和创建云服务器。

两台云服务器实例部署Nginx服务。操作请参考搭建后端服务。

创建服务器组，并添加两台云服务器实例。服务器组要求如下：

未开启全端口转发。

后端协议为TCP。

IP版本为IPv4。

操作请参考创建服务器组和添加后端服务器。

从火山引擎证书中心购买证书，或者从其他服务器商购买服务器证书并上传至火山引擎的证书中心。

购买或上传私有CA证书。

购买：操作请参考私有CA快速入门。

上传：操作请参考上传根CA证书、上传子CA证书、上传私有证书。

操作步骤

步骤一：配置TLS双向认证

登录NLB控制台。

在顶部导航栏，选择目标项目和地域。

单击目标NLB实例右侧的配置监听器按钮。

单击添加监听器按钮，参考下表，配置相关参数。

参数	说明	取值示例
监听器名称	输入监听器的名称。不填则默认为协议-端口，如TLS-80。	listener01
监听协议	选择NLB实例监听器的协议类型。本操作选择TLS。了解更多	TLS
监听端口	输入监听的端口。范围为1～65535。监听单端口：输入单个端口。当监听器监听到该端口的TLS请求时，会将请求中的目的IP和端口替换成后端服务器的IP地址和端口，并转发到后端服务器。了解更多	80
超时时间	设置超时时间。若连接在超时时间内没有数据传输，将自动关闭。 TLS监听器的超时时间取值范围为10～900秒，默认为900秒。	900秒
标签	标签由一个键值对组成，用于资源的分类和搜索。了解更多。单击添加图标，输入标签键和标签值，为监听器添加标签。	标签键：listener-key 标签值：listener-test

单击下一步按钮，配置SSL证书。

参数	说明	取值示例
证书来源	选择证书来源。火山引擎证书中心SSL证书（推荐使用）。火山引擎证书中心私有CA。说明私有CA的证书支持作为服务器证书的功能正在邀测中，如需试用，请联系客户经理。	火山引擎证书中心SSL证书
服务器证书	下拉选择服务器证书。您可在证书中心购买或上传服务器证书，NLB从证书中心获取该证书并使用。说明 NLB不对服务器证书的完整性进行校验，该校验由证书中心进行。未进行完整性校验的证书可能存在安全风险，请您仔细评估后操作。了解更多	xx-certificate-xx
双向认证	选择是否开启双向认证。双向验证指除了客户端需要验证服务器的合法性外，服务器还需要验证客户端的合法性。双向认证的更多介绍，请参见双向认证。	开启
CA证书来源	选择CA证书的来源，支持如下：私有根CA 私有子CA	私有子CA
CA证书	根据CA证书来源选择CA证书。	pca_sub_3NDtjsc-xx
TLS安全策略	根据策略类型下拉选择具体策略。了解更多	系统默认策略 tls_cipher_policy_1_0

单击下一步按钮，选择TCP协议的服务器组。

单击下一步按钮，确认配置信息。

单击确定按钮，完成操作。

步骤二：配置安全组和网络ACL

NLB实例：需要放通如下流量。

客户端访问请求

转发访问请求

健康检查

系统探测NLB私网IP地址可用性

详情请参见配置NLB的安全组和网络ACL。

后端服务器：需要放通如下流量：

NLB转发的访问请求

健康检查

若已开启放通后端安全组功能，则无需配置后端安全组；若未开启，需配置后端安全组，详情请参见配置后端服务器的安全组和网络ACL。

步骤三：证书域名解析至NLB域名

说明

本文以在火山引擎 DNS 服务中配置解析记录为例，如果您使用其他平台管理业务域名，请在对应的平台中配置解析记录。

登录云解析DNS控制台。

参考添加CNAME记录将您的自有域名解析至NLB实例的域名，并验证配置是否生效。参数说明如下表所示。

参数	描述
域名	设置为您证书域名的主机记录（域名前缀）。例如：www.example.com。
记录类型	设置为 CNAME。
记录值	设置为 NLB 实例的域名，本文中为 nlb-2fe5af0pxlvy859gp68ag****.cn-guangzhou.nlb.volces.com。
说明上表中未介绍的参数请保持默认值。

步骤四：安装客户端证书

私有子CA由私有根CA签发，私有证书由私有子CA签发。客户端安装TLS监听器配置的CA证书签发的证书。

Linux客户端

Windows客户端

将CA证书压缩包上传至Linux客户端。

登录linux客户端，执行以下命令，解压压缩包。

tar -vxf <证书名称> -C <指定目录，如 /root/ca>

sudo chmod 700 /root/ca

验证

Linux客户端

Windows客户端

以后端服务为HTTP服务为例，执行以下命令：

curl --cert <证书所在目录>certificate.pem --key <证书所在目录>private_key.key --cacert <证书所在目录>certificate_chain.pem https://<域名>:<端口>

示例如下：

curl --cert /root/ca/certificate.pem --key /root/ca/private_key.key --cacert /root/ca/certificate_chain.pem https://test.com:80

返回服务器部署服务的数据，则操作成功。/

最近更新时间：2026.08.06 14:30:33

这个页面对您有帮助吗？

有用

无用