概要

stunnelとAWS Network Load Balancer(NLB)等のLoad Balancer TLS終端サービスを使って暗号化通信を行います

何がいいの?

既存のアプリケーションを修正することなくTLS暗号化が可能です。

方法1.AWS NLB TLS終端を使用

PC内のクライアントソフトは同じPC内のstunnelと通信します。
PC内のstunnelはNLBを経由して通信を転送します。
以下の例ではサーバーはRedisを使用しています。

NLB設定

AWSコンソールからEC2>>ロードバランサー>>ロードバランサーの作成を押下
ロードバランサーはNLBを選択
NLBを作成
- ロードバランサー名
- スキーム:インターネット向け
- IPアドレスタイプ:IPv4
- ネットワークマッピング:既存VPCのパブリックサブネットを指定
- セキュリティグループ:リスナーポートを許可するセキュリティグループを指定
- リスナーとルーティング:プロトコルTLS,ポートはリッスンするポートを指定(上図の例では6376),ターゲットグループの作成を選択
  - グループ:インスタンスまたはIPアドレスを選択
  - ターゲットグループ名
  - プロトコルポート:サーバーアプリケーションのリッスンポート(上図の例ではTCP 6379)
  - IPアドレスタイプ：IPv4
  - VPC:既存VPC
  - ヘルスチェック:TCP
  - 「次へ」を押下
  - インスタンス選択またはIPアドレスを入力して「保留中として以下を含める」を押下
  - 「ターゲットグループの作成」を押下
  - 作成されたターゲットグループの属性を確認してクライアントIPアドレスの保持を確認(オンの場合はクライアントIPが保持され、オフの場合はNLBにてクライアントIPがNATされる)
- リスナーの編集に戻って作成されたターゲットグループを選択
- セキュリティポリシー:適切なポリシー(TLS1.3等)を選択
- デフォルトSSl/TLSサーバー証明書：パブリックドメインのサーバー証明書登録のためACMの登録済み証明書や証明書インポートを選択
- 「ロードバランサーの作成」を押下

Route53設定

インターネット上からNLBの名前解決できるようAレコードを登録します

Route53で登録したドメインのAレコードを追加
- レコードタイプ：A
- エイリアス：On
- トラフィックのルーティング先:作成したNLBを選択

クライアント設定

アプリケーション登録
例)app.example.com

 [example]
  client = yes
  accept = 127.0.0.1:6375
  connect = app.example.com:6376

Configuration>Reload Configurationを選択して設定反映

接続確認

PCからtelnetを使用してサーバーに接続確認

C:\path\to>telnet 127.0.0.1 6375
ping
+PONG
ping
+PONG

PC-NLB間のIPパケット取得するとTLS1.3で暗号化されたことが確認できます

方法2.OCI FLB TLS終端を使用

PC内のクライアントソフトは同じPC内のstunnelと通信します。
PC内のstunnelはOCI FLBを経由して通信を転送します。
以下の例ではサーバーはRedisを使用しています。

FLBおよびDNS設定

以下の設定を参考にします。FLBのリッスンポートは上図の例では6378を指定します。

OCI LoadBalancerを使ってNATとSSL/TLS終端を行う

クライアント設定

アプリケーション登録
例)app.example.com

 [example]
  client = yes
  accept = 127.0.0.1:6377
  connect = app.example.com:6378

Configuration>Reload Configurationを選択して設定反映

接続確認

PCからtelnetを使用してサーバーに接続確認

C:\path\to>telnet 127.0.0.1 6377
ping
+PONG
ping
+PONG

PC-FLB間のIPパケット取得するとTLS1.3で暗号化されたことが確認できます