SSL Sonlandırma ve Yapışkan Oturumlar

SSL/TLS sonlandırma, yük dengeleyicinin gelen HTTPS trafiğinin şifresini çözmesi, düz metin HTTP isteğini (yönlendirme kararları için) incelemesi ve ardından isteği arka uca iletmeden önce isteği isteğe bağlı olarak yeniden şifrelemesi anlamına gelir. Sonlandırma ALB üzerinde gerçekleştiğinde uygulama sunucularınız, yük dengeleyiciden şifrelenmemiş HTTP trafiği alabilir; bu da arka uç yapılandırmasını basitleştirir.

Yük dengeleyicide sonlandırma, uygulama sunucularındaki CPU yükünü azaltır (bağlantı başına TLS el sıkışması gerekmez), içerik tabanlı yönlendirmeyi (HTTP üst bilgilerinin okunmasını gerektirir) mümkün kılar ve sertifika yönetimini merkezileştirir.

AWS Certificate Manager (ACM), SSL/TLS sertifikalarını ek ücret olmadan oluşturur, yönetir ve yeniler. ALB ve NLB, ACM ile doğrudan tümleşir: HTTPS dinleyici yapılandırmasında bir ACM sertifikası seçersiniz ve yük dengeleyici bu sertifikayı bağlanan istemcilere sunar.

ACM sertifikaları, süreleri dolmadan önce otomatik olarak yenilenir; manuel yenileme gerekmez ve süresi dolan sertifikalar nedeniyle kesinti yaşanmaz. Genel sertifikalarda ACM, alan adı sahipliğini DNS doğrulaması (Route 53'te CNAME kaydı) veya e-posta doğrulamasıyla doğrular. Dahili kullanım için ACM Private CA, özel sertifikalar oluşturabilir.

SNI (Server Name Indication), tek bir IP adresinin (dolayısıyla tek bir ALB veya NLB dinleyicisinin) farklı alan adları için birden çok TLS sertifikası sunmasını sağlayan bir TLS uzantısıdır. İstemci, ulaşmaya çalıştığı ana makine adını TLS ClientHello iletisinin içine ekler ve yük dengeleyici uygun sertifikayı seçer.

ALB, SNI'yi yerel olarak destekler: tek bir HTTPS dinleyicisine birden çok ACM sertifikası ekleyebilirsiniz. ALB, istemcinin SNI ana makine adına göre doğru sertifikayı otomatik olarak seçer. Böylece her alan adı için ayrı bir dinleyici veya yük dengeleyici kullanma gereği ortadan kalkar ve SSL ile gerçek sanal barındırma mümkün olur.

ALB ve NLB, yük dengeleyicinin istemcilerden kabul ettiği TLS protokol sürümlerini ve şifre paketlerini denetleyen yapılandırılabilir SSL güvenlik ilkelerini destekler. AWS, yeni güvenlik açıkları keşfedildikçe güncellenen önceden tanımlı ilkeler (ör. ELBSecurityPolicy-TLS13-1-2-2021-06) sağlar.

Uyumluluk gereksinimleri belirli TLS sürümlerini zorunlu kılabilir: PCI-DSS 3.2.1, en az TLS 1.2 gerektirir; birçok modern standart TLS 1.0 ve 1.1'in tamamen devre dışı bırakılmasını önerir. Kullanımdan kaldırılmış protokolleri ve zayıf şifre paketlerini dışlayan bir ilke kullanın. İleriye dönük gizlilik ve performans için TLS 1.3 içeren ilkeleri tercih edin.

ALB üzerinde iki farklı TLS yaklaşımı vardır:

• SSL sonlandırma (en yaygın): ALB, yük dengeleyicide şifreyi çözer ve hedeflere düz HTTP iletir. Basittir, yönlendirme amacıyla inceleme yapılmasını sağlar ve sunucunun CPU yükünü azaltır. Arka uç trafiği VPC içinde şifrelenmez.
• Uçtan uca TLS: ALB, şifreyi çözer ve hedeflere iletmeden önce yeniden şifreler (ALB ile hedef arasında HTTPS). CPU kullanımı daha yüksektir ve hedeflerde sertifika bulunmasını gerektirir; ancak sıkı uyumluluk senaryolarında VPC içindeki şifrelemeyi de sağlar.

NLB'nin TLS geçişi modunda NLB şifreyi hiç çözmez; ham TCP'yi TLS'yi yöneten hedefe iletir. Uygulama sunucusu kendi sertifikasını yönetir.

Yapışkan oturumlar (oturum bağlılığı olarak da adlandırılır), aynı istemciden gelen tüm isteklerin bir hedef grubu içindeki aynı hedefe tutarlı biçimde yönlendirilmesini sağlar. Bu özellik, oturum verilerini paylaşılan bir önbellekte (ElastiCache gibi) değil, tek tek sunucuların belleğinde depolayan durum bilgili uygulamalar için gereklidir.

Yapışkan oturumlar olmadan durum bilgisi tutmayan bir yük dengeleyici, 1. isteği oturumu depolayan A sunucusuna, 2. isteği ise oturum verisi bulunmayan B sunucusuna gönderebilir. Bu durum, kullanıcının oturumu kapatılmış gibi görünmesine veya alışveriş sepeti içeriğini kaybetmesine yol açar. Yapışkan oturumlar, istemciyi oturum süresi boyunca belirli bir hedefe bağlar.

ALB, yapışkan oturum çerezlerinin iki türünü destekler:

• Süre tabanlı yapışkanlık (LB tarafından oluşturulan çerez): ALB, AWSALB adlı bir çerez oluşturur (ALB için) ve sona erme süresini belirler. Çerez, hedefe yönelik şifrelenmiş bir başvuru içerir. İstemci, sonraki isteklerde bu çerezi gönderir.
• Uygulama tabanlı yapışkanlık: uygulamanız tarafından ayarlanan mevcut bir çerezi kullanır. ALB, belirttiğiniz çerez adını okur, kendi çerezinde bunun şifrelenmiş bir sürümünü oluşturur ve özgün uygulama çerezini korurken yapışkan yönlendirme için bu sürümü kullanır.

Yapışkanlığı hedef grubu başına, 1 saniye ile 7 gün arasında bir süre belirleyerek yapılandırın.

Yapışkan oturumlar durum bilgili uygulama sorununu çözse de bazı ödünleşimler getirir:

• Dengesiz yük dağılımı: bazı istemciler olağan dışı derecede etkinse bazı hedefler daha fazla trafik alabilir ve bu da yük dengelemenin amacını boşa çıkarır
• Ölçeklendirme sınırlamaları: yapışkan bir hedef sağlıksız duruma gelirse oturumlar kopar; istemci yeni bir hedefle yeni bir oturum başlatmak zorunda kalır ve bellekteki oturum verilerini kaybeder
• Azalan esneklik: yapışkan oturumlar, ölçek azaltma işlemleri sırasında örneklerin bağlantılarının boşaltılmasını ve sonlandırılmasını zorlaştırır

En iyi uygulama: oturum durumunu ElastiCache veya DynamoDB hizmetine dışsallaştırarak yapışkan oturum ihtiyacını ortadan kaldırın. Bu, uygulamanızı gerçekten durum bilgisi tutmayan bir yapıya dönüştürür ve tam yatay ölçeklendirme sağlar.

NLB, ALB'ye benzer şekilde sonlandırma için 443 numaralı bağlantı noktasında (veya herhangi bir bağlantı noktasında) TLS dinleyicilerini destekler. NLB, trafiğin şifresini çözer, isteğe bağlı olarak yeniden şifreler ve hedeflere iletir. Alternatif olarak NLB, bir TCP dinleyicisi yapılandırırsanız şifrelenmiş TCP trafiğini şifresini çözmeden geçirebilir; bu modda TLS'yi uçtan uca uygulama sunucusu yönetir.

ACM ile NLB TLS sonlandırması, ALB ile aynı sertifika yönetimi avantajlarını sağlar ancak HTTP katmanı özelliklerini sunmaz. Statik IP'lerle TLS sonlandırmasına ihtiyaç duyduğunuzda veya arka uç protokolünüz HTTP olmadığında (ör. özel bir TCP protokolü) NLB TLS sonlandırmasını kullanın.

Yapışkan bir hedef kaydı silindiğinde (ör. Auto Scaling ölçek azaltma işlemi sırasında), bağlantı boşaltma işlemi devam eden isteklerin tamamlanmasını sağlar. Ancak hâlâ boşaltılan hedefe ait AWSALB çerezini taşıyan yapışkan istemcilerden gelen yeni istekler otomatik olarak yeni bir hedefe atanır; bu istemci için yapışkanlık çerezi geçersiz kılınır.

Kayıt silme gecikmesi ile çerez geçersiz kılma işleminin bu birleşimi, sorunsuz geçişler sağlar: mevcut uzun süreli istekler tamamlanırken bu istemcilerden gelen yeni istekler, son kullanıcıya hata gibi görünmeden sağlıklı hedeflere düzgün biçimde yeniden yönlendirilir.

Sınav açısından önemli en iyi uygulamalar:

• Otomatik yenileme için ACM sertifikalarını kullanın; yük dengeleyicilerde sertifikaları hiçbir zaman manuel olarak yönetmeyin
• TLS 1.2+ güvenlik ilkelerini kullanın; PCI/HIPAA uyumluluğu için TLS 1.0/1.1'i devre dışı bırakın
• Yapışkan oturumlar yerine durum bilgisi tutmayan mimarileri (oturum ElastiCache/DynamoDB'de) tercih edin
• Ayrı yük dengeleyicilerde birden çok sertifika kullanmadan tek bir dinleyiciden birden çok alan adı sunmak için ALB üzerinde SNI kullanın
• Sıkı uyumluluk için (VPC'deki verilerin şifrelenmesi gerekiyorsa) yalnızca yük dengeleyicide sonlandırma kullanmayın; uçtan uca TLS ile HTTPS hedef grupları kullanın

Bu derste ele alınan AWS Solutions Architect (SAA-C03) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: ACM sertifikalarıyla ALB SSL/TLS sonlandırması, birden çok alan adı için otomatik yenileme ve SNI sağlar; SSL güvenlik ilkeleri, uyumluluk amacıyla TLS sürümünü ve şifre paketlerini denetler; yapışkan oturumlar, durum bilgili uygulamalarda kullanıcıları aynı hedefe yönlendirir, ancak oturum durumunu ElastiCache'e dışsallaştırmakla değiştirilmesi en iyi seçenektir. Sırada Auto Scaling Groups ve başlatma şablonlarını inceleyeceğiz.