Терминирование TLS-соединений с помощью консоли управления

Чтобы создать инфраструктуру для терминирования TLS-соединений c помощью консоли управления:

1. Подготовьте облако к работе.
2. Создайте облачную сеть.
3. Зарезервируйте статический публичный IP-адрес
4. Создайте группы безопасности.
5. Импортируйте TLS-сертификат сайта в Certificate Manager.
6. Создайте группу ВМ для сайта.
7. Создайте группу бэкендов.
8. Создайте и настройте HTTP-роутер.
9. Создайте L7-балансировщик.
10. Настройте DNS для сайта.
11. Проверьте работу хостинга.

В качестве примера используется доменное имя my-site.com.

Если созданные ресурсы вам больше не нужны, удалите их.

Подготовьте облако к работеПодготовьте облако к работе

Зарегистрируйтесь в Yandex Cloud и создайте платежный аккаунт:

1. Перейдите в консоль управления, затем войдите в Yandex Cloud или зарегистрируйтесь.
2. На странице Yandex Cloud Billing убедитесь, что у вас подключен платежный аккаунт, и он находится в статусе ACTIVE или TRIAL_ACTIVE. Если платежного аккаунта нет, создайте его и привяжите к нему облако.

Если у вас есть активный платежный аккаунт, вы можете создать или выбрать каталог, в котором будет работать ваша инфраструктура, на странице облака.

Подробнее об облаках и каталогах.

Необходимые платные ресурсыНеобходимые платные ресурсы

В стоимость поддержки инфраструктуры для терминирования TLS-соединений входят:

• плата за постоянно запущенные ВМ (тарифы Yandex Compute Cloud);
• плата за использование публичного статического IP-адреса (тарифы Yandex Virtual Private Cloud);
• плата за использование вычислительных ресурсов L7-балансировщика (тарифы Application Load Balancer);
• плата за публичные DNS-запросы и зоны DNS, если вы используете Yandex Cloud DNS (тарифы Cloud DNS).

Создайте облачную сетьСоздайте облачную сеть

Все ресурсы, созданные в сценарии, будут относиться к одной облачной сети.

Чтобы создать сеть:

Зарезервируйте статический публичный IP-адресЗарезервируйте статический публичный IP-адрес

Для работы виртуального хостинга потребуется статический публичный IP-адрес, который будет назначен L7-балансировщику.

Чтобы зарезервировать IP-адрес:

Создайте группы безопасностиСоздайте группы безопасности

Группы безопасности содержат правила, которые разрешают балансировщику получать входящий трафик и отправлять его на ВМ, а ВМ — получать этот трафик. В сценарии будут созданы две группы безопасности: для балансировщика и для всех ВМ.

Чтобы создать группы безопасности:

Импортируйте TLS-сертификат сайта в Certificate ManagerИмпортируйте TLS-сертификат сайта в Certificate Manager

Чтобы пользователи могли обращаться к сайту по защищенному протоколу HTTPS (HTTP over TLS), для него должен быть выпущен TLS-сертификат. Для использования в L7-балансировщике сертификат нужно импортировать в Certificate Manager.

Если у вашего сайта нет сертификата, вы можете получить в Certificate Manager сертификат от Let's Encrypt®. В этом случае дополнительных действий после создания сертификата не потребуется: он — импортируется автоматически.

Чтобы импортировать уже имеющийся сертификат для сайта my-site.com:

Создайте группу ВМ для сайтаСоздайте группу ВМ для сайта

Чтобы создать группу ВМ для сайта my-site.com:

Создайте группу бэкендовСоздайте группу бэкендов

Целевую группу, созданную вместе с группой ВМ, нужно привязать к группе бэкендов с настройками распределения трафика.

Для бэкендов в группе будут созданы проверки состояния: балансировщик будет периодически отправлять проверочные запросы к ВМ и ожидать ответа в течение определенного периода.

Чтобы создать группу бэкендов для сайта my-site.com:

Создайте и настройте HTTP-роутерСоздайте и настройте HTTP-роутер

Группу бэкендов нужно привязать к HTTP-роутеру с правилами маршрутизации.

Чтобы создать HTTP-роутер:

Создайте L7-балансировщикСоздайте L7-балансировщик

Настройте DNS для сайтаНастройте DNS для сайта

Доменное имя my-site.com должно быть связано с IP-адресом L7-балансировщика с помощью записей DNS. Чтобы это сделать:

После настройки DNS, проверьте работу хостинга.

Проверьте работу хостингаПроверьте работу хостинга

Чтобы проверить работу хостинга:

1. Создайте главную страницу сайта — файл index.html

   Пример файла index.html

   <!DOCTYPE html>
   <html>
     <head>
       <title>My site</title>
     </head>
     <body>
       <h1>This is my site</h1>
     </body>
   </html>
   

2. Загрузите файл index.html на каждую ВМ:

   1. В блоке Сеть на странице виртуальной машины в консоли управления найдите публичный IP-адрес виртуальной машины.

   2. Подключитесь к виртуальной машине по протоколу SSH.

   3. Выдайте права на запись для вашего пользователя на директорию /var/www/html:

      Ubuntu

      CentOS

      sudo chown -R "$USER":www-data /var/www/html
      

      sudo chown -R "$USER":apache /var/www/html
      

   4. Загрузите на ВМ файлы сайта с помощью протокола SCP.

      Linux/macOS

      Windows

      Используйте утилиту командной строки scp:

      scp -r <путь_до_директории_с_файлами> <имя_пользователя_ВМ>@<IP-адрес_виртуальной_машины>:/var/www/html
      

      С помощью программы WinSCP скопируйте локальную директорию с файлами в директорию /var/www/html на ВМ.

3. В браузере откройте сайт по адресу http://my-site.com — должно произойти перенаправление на страницу https://my-site.com, где уже подключен TLS-сертификат из Certificate Manager.

Как удалить созданные ресурсыКак удалить созданные ресурсы

Чтобы перестать платить за созданные ресурсы:

1. Удалите L7-балансировщик mysite-alb.
2. Удалите HTTP-роутер mysite-router.
3. Удалите группу бэкендов my-site-bg.
4. Удалите группу ВМ mysite-ig.
5. Удалите зарезервированный статический публичный IP-адрес.
6. Если вы использовали Cloud DNS, то удалите DNS-записи и удалите DNS-зону.

Полезные ссылкиПолезные ссылки

• Терминирование TLS-соединений с помощью Terraform.