ELB如何实现安全防护

ELB安全防护实现路径

一 传输加密与证书安全

• 启用全链路HTTPS：客户端到ELB、ELB到后端均加密，兼顾性能与运维效率。
• 在ELB上完成TLS卸载（单向/双向认证），降低后端CPU压力并提升握手效率。
• 配置HTTP→HTTPS重定向，统一入口安全。
• 证书私钥最小化暴露：在IAM中关闭“证书私钥显示”API，并为调用方授予最小权限，避免私钥泄露。
• 如需提升弱网体验与并发，可启用QUIC协议转发。

二 访问控制与源站保护

• 在ELB监听器上配置白名单/黑名单（基于IP地址组），仅允许可信来源访问；注意访问控制只限制业务转发，不限制对ELB IP的ICMP探测。
• 网站接入WAF后，源站只放行WAF的回源IP段：
  • 在ELB监听器或后端ECS安全组入方向仅允许WAF回源网段；
  • 定期同步WAF回源IP网段变更，避免新增网段导致5xx；
  • 通过telnet直连源站IP:端口验证，若不通而业务正常，说明源站保护生效。
• 在CCE场景可通过Ingress注解为ELB开启访问控制，支持多IP地址组（独享型ELB最多5个）。

三 DDoS与抗流量攻击

• 公网ELB接入DDoS原生高级防护（AAD）：将ELB的EIP加入防护对象，自动清洗**SYN Flood、UDP Flood、反射型（SSDP/NTP/Memcached）**等攻击；相比直接对ECS防护，联动ELB可丢弃未监听协议/端口流量，整体抗攻击效果更好。
• 网站类业务可叠加“WAF + ELB + AAD”：WAF负责Web/CC等应用层攻击清洗，AAD提供四层DDoS兜底，形成多层纵深防护。

四 身份与运维安全

• 使用IAM进行细粒度授权：为应用配置临时AK/SK或委托，定期轮转永久AK/SK，降低凭证泄露风险。
• 控制台与API安全：开启登录保护/多因素认证，遵循最小权限原则，避免越权操作。
• 审计与可观测：开启CTS记录ELB操作审计，使用CES监控关键指标并配置告警，及时发现异常。
• 高可用与韧性：为后端挂载弹性伸缩组，并进行压测验证极限场景下的可用性与伸缩策略。

五 典型架构与配置步骤

• 架构组合建议：公网入口→DDoS原生高级防护→ELB（全链路HTTPS/TLS卸载）→WAF→后端ECS/CCE。
• 关键步骤：
  1. 创建应用型（独享型）ELB并绑定EIP，前端开启HTTP→HTTPS重定向；
  2. 在ELB上完成TLS卸载（按需启用双向认证）；
  3. 将网站域名解析到ELB的EIP；
  4. 购买并接入WAF（云模式或独享模式），将ELB作为回源入口；
  5. 在源站ECS/ELB安全组仅放行WAF回源IP段；
  6. 将ELB的EIP加入DDoS原生高级防护实例；
  7. 开启CTS审计、CES监控告警，定期压测并巡检证书与回源IP变更。