文档中心

负载均衡

最佳实践

HTTPS监听器双向认证

HTTPS监听器双向认证

操作场景

当业务要求服务器和客户端均需要验证合法性时，可以开启双向认证。开启之后，除了客户端需要验证服务器的合法性外，服务器也需要验证客户端的合法性。

准备工作

创建一个VPC及子网。操作请参考创建私有网络。

在子网内创建一台公网CLB实例和两台云服务器实例。操作请参考创建CLB实例和创建云服务器。

两台云服务器实例部署Nginx服务。操作请参考搭建后端服务。

创建后端服务器组，并添加两台云服务器实例。操作请参考创建后端服务器组和添加后端服务器。

从火山引擎证书中心购买证书，或者从其他服务器商购买服务器证书并上传至火山引擎的证书中心。

从私有CA购买私有证书。操作请参考私有CA快速入门。

操作步骤

步骤一：安装客户端证书

Linux客户端

Windows客户端

将私有证书压缩包上传至Linux客户端。

登录linux客户端，执行以下命令，解压压缩包。

tar -vxf <证书名称> -C <指定目录，如 /root/ca>

修改目录权限。

sudo chmod 700 /root/ca

步骤二：配置HTTPS双向认证

登录CLB控制台。

在顶部导航栏，选择目标项目和地域。

单击目标CLB实例右侧的配置监听器按钮，进入监听器列表页面。

单击添加监听器按钮，参考下表完成监听器的基本配置。

参数	说明	取值示例
监听器名称	配置监听器的名称。	listener-1
负载均衡协议	选择CLB实例监听的协议类型。	HTTPS
监听端口	指监听的端口。	443
调度算法	指定监听器转发请求遵循的规则。	加权轮询（WRR）

超时时间使用默认值。

参考下表为监听器配置更多高级功能。

参数	说明	取值示例
访问控制	表示监听器是否对访问请求设置黑白名单控制。	不开启
会话保持	调度算法为“加权轮询（WRR）”时，可选择是否为监听器开启会话保持。	不开启
开启HTTP 2.0	选择是否开启CLB的前端协议版本为HTTP 2.0。	关闭
带宽上限	选择是否为监听器开启带宽限速。	不开启

单击下一步按钮，配置SSL证书。

参数	说明	取值示例
证书来源	选择证书来源，支持火山引擎证书中心。	火山引擎证书中心
选择服务器证书	下拉选择服务器证书。	xx-certificate-xx
TLS安全策略	选择是否开启TLS（Transport Layer Security，TLS）安全策略。	是
选择策略	选择TLS安全策略。	tls_cipher_policy_1_2
双向认证	选择是否开启双向认证。双向验证指除了客户端需要验证服务器的合法性外，服务器还需要验证客户端的合法性。若开启，请在CA证书参数栏下拉选择CA证书。	开启、ca-xx

在默认后端服务器组配置页面，选择预先创建的后端服务器组，然后单击下一步按钮。

在健康检查配置页面，参数保持默认值不变，单击下一步按钮。

在配置审核页面，确认配置项无误后，单击确定按钮，完成操作。

说明

本文使用默认转发规则，故没有配置自定义转发规则。

验证

Linux客户端

Windows客户端

执行以下命令：

sudo curl https://<服务器证书绑定的域名>:<端口> --resolve <服务器证书绑定的域名>:<CLB绑定的公网IP> -v --cacert <证书所在目录>certificate_chain.pem --key <证书所在目录>private_key.key --cert <证书所在目录>certificate.pem

示例如下

sudo curl https://test.com:443 --resolve test.com:12.XX.XX.182 -v --cacert /root/ca/certificate_chain.pem --key /root/ca/private_key.key --cert /root/ca/certificate.pem

返回服务器部署服务的数据，则操作成功。

最近更新时间：2026.08.06 14:30:32

这个页面对您有帮助吗？

有用

有用

无用

无用