Связаться с экспертомПопробовать бесплатно
Создавайте контент и получайте гранты!Готовы написать своё руководство? Участвуйте в контент-программе и получайте гранты на работу с облачными сервисами!
Подробнее о программе
Проект Яндекса
© 2026 ООО «Яндекс.Облако»

Терминирование TLS-соединений с помощью консоли управления

Статья создана
Улучшена
Обновлена 27 августа 2026 г.
Открыть в Markdown

Чтобы создать инфраструктуру для терминирования TLS-соединений c помощью консоли управления:

  1. Подготовьте облако к работе.
  2. Создайте облачную сеть.
  3. Зарезервируйте статический публичный IP-адрес
  4. Создайте группы безопасности.
  5. Импортируйте TLS-сертификат сайта в Certificate Manager.
  6. Создайте группу ВМ для сайта.
  7. Создайте группу бэкендов.
  8. Создайте и настройте HTTP-роутер.
  9. Создайте L7-балансировщик.
  10. (Опционально) Настройте проверку клиентских сертификатов.
  11. Настройте DNS для сайта.
  12. Проверьте работу хостинга.

В качестве примера используется доменное имя my-site.com.

Если созданные ресурсы вам больше не нужны, удалите их.

Подготовьте облако к работе

Зарегистрируйтесь в Yandex Cloud и создайте платежный аккаунт:

  1. Перейдите в консоль управления, затем войдите в Yandex Cloud или зарегистрируйтесь.
  2. На странице Yandex Cloud Billing убедитесь, что у вас подключен платежный аккаунт, и он находится в статусе ACTIVE или TRIAL_ACTIVE. Если платежного аккаунта нет, создайте его и привяжите к нему облако.

Если у вас есть активный платежный аккаунт, вы можете создать или выбрать каталог, в котором будет работать ваша инфраструктура, на странице облака.

Подробнее об облаках и каталогах.

В стоимость поддержки инфраструктуры для терминирования TLS-соединений входят:

Создайте облачную сеть

Все ресурсы, созданные в сценарии, будут относиться к одной облачной сети.

Чтобы создать сеть:

  1. Откройте консоль управления.
  2. Перейдите в сервис Virtual Private Cloud.
  3. Нажмите кнопку Создать сеть.
  4. Укажите Имя сети: mysite-network.
  5. Выберите опцию Создать подсети.
  6. Нажмите кнопку Создать сеть.

Зарезервируйте статический публичный IP-адрес

Для работы виртуального хостинга потребуется статический публичный IP-адрес, который будет назначен L7-балансировщику.

Чтобы зарезервировать IP-адрес:

  1. Откройте консоль управления.
  2. Перейдите в сервис Virtual Private Cloud.
  3. На панели слева выберите Публичные IP-адреса.
  4. Нажмите кнопку Зарезервировать публичный IP-адрес.
  5. В открывшемся окне выберите зону доступности ru-central1-a. Нажмите кнопку Зарезервировать.

Создайте группы безопасности

Группы безопасности содержат правила, которые разрешают балансировщику получать входящий трафик и отправлять его на ВМ, а ВМ — получать этот трафик. В сценарии будут созданы две группы безопасности: для балансировщика и для всех ВМ.

Чтобы создать группы безопасности:

  1. Откройте консоль управления.

  2. Перейдите в сервис Virtual Private Cloud.

  3. На панели слева выберите Группы безопасности.

  4. Нажмите кнопку Создать группу безопасности. В открывшемся окне:

    1. Укажите Имя группы безопасности: mysite-sg-balancer.

    2. Выберите Сеть mysite-network.

    3. В блоке Правила нажмите кнопку Добавить правило и создайте следующие правила по инструкции под таблицей:

      Направление
      трафика      		 Описание Диапазон портов Протокол Назначение /
      Источник      		 IPv4 CIDR
      Исходящий трафик any Выбрать все Любой Диапазон адресов 0.0.0.0/0
      Входящий трафик ext-http 80 TCP Диапазон адресов 0.0.0.0/0
      Входящий трафик ext-https 443 TCP Диапазон адресов 0.0.0.0/0
      Входящий трафик healthchecks 30080 TCP Проверки состояния балансировщика —

      1. В поле Направление трафика выберите Исходящий трафик или Входящий трафик.

      2. В поле Диапазон портов укажите один порт или диапазон портов, куда или откуда будет поступать трафик.

      3. В поле Протокол укажите нужный протокол или оставьте Любой, чтобы разрешить передачу трафика по всем протоколам.

      4. В поле Источник или Назначение выберите назначение правила:

        • Диапазон адресов — правило будет применено к диапазону IP-адресов.
        • Группа безопасности — правило будет применено к ВМ из текущей группы или из выбранной группы безопасности.
        • Проверки состояния балансировщика — правило, которое позволяет балансировщику проверять состояние ВМ.

      5. В поле IPv4 CIDR укажите CIDR и маски подсетей, в которые или из которых будет поступать трафик. Чтобы добавить несколько CIDR, нажимайте кнопку Добавить CIDR.

      6. (Опционально) Добавьте описание правила.

      7. Нажмите кнопку Сохранить.

    4. Нажмите кнопку Создать.

  5. Аналогично для ВМ создайте группу безопасности mysite-sg-vms и сетью mysite-network со следующими правилами:

    Направление
    трафика    		 Описание Диапазон портов Протокол Источник /
    назначение    		 IPv4 CIDR
    Входящий трафик balancer 80 TCP Группа безопасности mysite-sg-balancer
    Входящий трафик ssh 22 TCP Диапазон адресов 0.0.0.0/0

Импортируйте TLS-сертификат сайта в Certificate Manager

Чтобы пользователи могли обращаться к сайту по защищенному протоколу HTTPS (HTTP over TLS), для него должен быть выпущен TLS-сертификат. Для использования в L7-балансировщике сертификат нужно импортировать в Certificate Manager.

Если у вашего сайта нет сертификата, вы можете получить в Certificate Manager сертификат от Let's Encrypt®. В этом случае дополнительных действий после создания сертификата не потребуется: он — импортируется автоматически.

Чтобы импортировать уже имеющийся сертификат для сайта my-site.com:

  1. Откройте консоль управления.
  2. Перейдите в сервис Certificate Manager.
  3. Нажмите кнопку Добавить сертификат и выберите пункт Пользовательский сертификат.
  4. Укажите Имя сертификата: mysite-cert.
  5. В поле Сертификат нажмите кнопку Добавить сертификат. Загрузите Файл с вашим сертификатом или укажите его Содержимое и нажмите кнопку Добавить.
  6. (Опционально) Если ваш сертификат выпущен сторонним центром сертификации, в поле Цепочка промежуточных сертификатов нажмите кнопку Добавить цепочку. Загрузите Файл с цепочкой сертификатов или укажите его Содержимое и нажмите кнопку Добавить.
  7. В поле Приватный ключ нажмите кнопку Добавить приватный ключ. Загрузите Файл с ключом или укажите его Содержимое и нажмите кнопку Добавить.
  8. Нажмите кнопку Создать.

Создайте группу ВМ для сайта

Чтобы создать группу ВМ для сайта my-site.com:

  1. Откройте консоль управления.

  2. Перейдите в сервис Compute Cloud.

  3. На панели слева выберите Группы виртуальных машин. Нажмите кнопку Создать группу виртуальных машин.

  4. Укажите Имя группы ВМ: mysite-ig.

  5. В блоке Распределение выберите несколько зон доступности, чтобы обеспечить отказоустойчивость хостинга.

  6. В блоке Шаблон виртуальной машины нажмите кнопку Задать.

  7. В блоке Образ загрузочного диска в поле поиска введите LEMP и выберите продукт LEMP.

  8. В блоке Вычислительные ресурсы:

    • Выберите платформу ВМ.
    • Укажите необходимое количество vCPU и объем RAM.

    Для функционального тестирования сайта хватит минимальной конфигурации:

    • Платформа — Intel Cascade Lake.
    • Гарантированная доля vCPU — 5%.
    • vCPU — 2.
    • RAM — 1 ГБ.

  9. В блоке Сетевые настройки выберите Сеть mysite-network, созданную ранее, и ее подсети.

  10. Выберите группу безопасности mysite-sg-vms, созданную ранее.

  11. Укажите данные для доступа на ВМ:

    • В поле Логин введите имя пользователя.

    • В поле SSH-ключ вставьте содержимое файла открытого ключа.

      Пару ключей для подключения по SSH необходимо создать самостоятельно.

    Внимание

    IP-адрес и имя хоста (FQDN) для подключения к ВМ назначатся ей при создании. Если вы выбрали вариант Без адреса в поле Публичный адрес, вы не сможете обращаться к ВМ из интернета.

  12. Нажмите кнопку Сохранить.

  13. В блоке Масштабирование укажите Размер группы ВМ — 2.

  14. В блоке Интеграция с Application Load Balancer выберите опцию Создать целевую группу и укажите имя группы ВМ — mysite-tg. Подробнее о целевых группах.

  15. Нажмите кнопку Создать.

Создайте группу бэкендов

Целевую группу, созданную вместе с группой ВМ, нужно привязать к группе бэкендов с настройками распределения трафика.

Для бэкендов в группе будут созданы проверки состояния: балансировщик будет периодически отправлять проверочные запросы к ВМ и ожидать ответа в течение определенного периода.

Чтобы создать группу бэкендов для сайта my-site.com:

  1. Откройте консоль управления.
  2. Перейдите в сервис Application Load Balancer.
  3. На панели слева выберите Группы бэкендов. Нажмите кнопку Создать группу бэкендов.
  4. Укажите Имя группы бэкендов: my-site-bg.
  5. В блоке Бэкенды нажмите кнопку Добавить.
  6. Укажите Имя бэкенда: mysite-backend.
  7. В поле Целевые группы выберите группу mysite-tg.
  8. Укажите Порт, на котором ВМ бэкенда будут принимать входящий трафик от балансировщика: 80.
  9. Нажмите кнопку Добавить проверку состояния.
  10. Укажите Порт, на котором ВМ бэкенда будут принимать проверочные соединения: 80.
  11. Укажите Путь, к которому будет обращаться балансировщик при проверке состояния: /.
  12. Нажмите кнопку Создать.

Создайте и настройте HTTP-роутер

Группу бэкендов нужно привязать к HTTP-роутеру с правилами маршрутизации.

Чтобы создать HTTP-роутер:

  1. Откройте консоль управления.
  2. Перейдите в сервис Application Load Balancer.
  3. На панели слева выберите HTTP-роутеры. Нажмите кнопку Создать HTTP-роутер.
  4. Укажите Имя HTTP-роутера: mysite-router.
  5. Нажмите кнопку Добавить виртуальный хост.
  6. Укажите Имя виртуального хоста: mysite-host.
  7. В поле Authority укажите доменное имя сайта: my-site.com.
  8. Нажмите кнопку Добавить маршрут.
  9. Укажите Имя маршрута: mysite-route.
  10. В поле Группа бэкендов выберите группу my-site-bg.
  11. Нажмите кнопку Создать.

Создайте L7-балансировщик

  1. Откройте консоль управления.
  2. Перейдите в сервис Application Load Balancer.
  3. Нажмите кнопку Создать L7-балансировщик.
  4. В открывшемся меню выберите Вручную.
  5. Укажите Имя балансировщика: mysite-alb.
  6. В блоке Сетевые настройки выберите группу безопасности mysite-sg-balancer, созданную ранее.
  7. Создайте обработчик для перенаправления HTTP-запросов на HTTPS:
    1. В блоке Обработчики нажмите кнопку Добавить обработчик.
    2. Укажите Имя обработчика: listener-http.
    3. В блоке Публичный IP-адрес выберите Тип Список и IP-адрес, зарезервированный ранее.
    4. В поле Протокол выберите пункт Перенаправлять на HTTPS.
  8. Создайте обработчик HTTPS-запросов:
    1. Снова нажмите кнопку Добавить обработчик.
    2. Укажите Имя обработчика: listener-https.
    3. В блоке Публичный IP-адрес выберите Тип Список и IP-адрес, зарезервированный ранее.
    4. В поле Протокол выберите пункт HTTPS.
    5. В блоке Основной обработчик выберите сертификат mysite-cert и HTTP-роутер mysite-router.
    6. Добавьте обработчик SNI для сайта my-site.com:
    7. Нажмите кнопку Добавить обработчик SNI.
    8. Укажите Имя обработчика SNI: mysite-sni.
    9. В поле Имена серверов укажите my-site.com.
    10. Выберите сертификат mysite-cert и HTTP-роутер mysite-router.
  9. Нажмите кнопку Создать.

Настройте проверку клиентских сертификатов

Если для сайта нужна взаимная TLS-аутентификация (mTLS), настройте проверку клиентских сертификатов и их передачу на бэкенд. Для проверки клиентских сертификатов потребуется PEM-файл с корневым сертификатом удостоверяющего центра, который выпустил клиентские сертификаты.

Примечание

Сейчас работа с клиентскими сертификатами поддерживается через API и CLI.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

  1. Включите проверку клиентских сертификатов для обработчика listener-https:

    yc alb load-balancer update-listener mysite-alb \
  --listener-name listener-https \
  --enable-tls \
  --certificate-name mysite-cert \
  --require-client-certificate \
  --client-certificates-trusted-ca-file <путь_к_PEM-файлу_корневого_сертификата> \
  --http-router-name mysite-router

    Где:

    • --listener-name — имя обработчика L7-балансировщика, созданного ранее;
    • --certificate-name — имя TLS-сертификата сайта, импортированного ранее;
    • --require-client-certificate — параметр, который включает проверку клиентского сертификата;
    • --client-certificates-trusted-ca-file — путь к PEM-файлу корневого сертификата для проверки клиентских сертификатов;
    • --http-router-name — имя HTTP-роутера, созданного ранее.

    Подробнее о команде yc alb load-balancer update-listener в справочнике CLI.

  2. (Опционально) Настройте передачу клиентского сертификата на бэкенд для маршрута mysite-route:

    yc alb virtual-host update-http-route mysite-route \
  --http-router-name mysite-router \
  --virtual-host-name mysite-host \
  --ccf-header X-Client-Cert \
  --ccf-issuer X-Client-Cert-Issuer \
  --ccf-subject X-Client-Cert-Subject

    Где:

    • --ccf-header — имя HTTP-заголовка, в котором на бэкенд передается клиентский сертификат;
    • --ccf-issuer — имя HTTP-заголовка, в котором на бэкенд передается издатель клиентского сертификата;
    • --ccf-subject — имя HTTP-заголовка, в котором на бэкенд передается субъект клиентского сертификата.

    Подробнее о команде yc alb virtual-host update-http-route в справочнике CLI.

  1. Включите проверку клиентских сертификатов для обработчика listener-https. Для этого в параметре clientCertificatesVerification укажите параметры для проверки клиентского сертификата.

    Чтобы изменить обработчик, воспользуйтесь методом REST API updateListener для ресурса LoadBalancer или вызовом gRPC API LoadBalancerService/UpdateListener.

  2. (Опционально) Настройте передачу клиентского сертификата на бэкенд. Для этого в виртуальном маршруте HTTP-роутера mysite-router укажите параметр clientCertificateForward:

    {
  "clientCertificateForward": {
    "clientCert": "X-Client-Cert",
    "clientCertIssuer": "X-Client-Cert-Issuer",
    "clientCertSubject": "X-Client-Cert-Subject"
  }
}

    Чтобы изменить HTTP-роутер, воспользуйтесь методом REST API update для ресурса HttpRouter или вызовом gRPC API HttpRouterService/Update.

Настройте DNS для сайта

Доменное имя my-site.com должно быть связано с IP-адресом L7-балансировщика с помощью записей DNS. Чтобы это сделать:

  1. Откройте консоль управления.

  2. Перейдите в сервис Application Load Balancer.

  3. Скопируйте IP-адрес созданного балансировщика.

  4. На сайте компании, которая предоставляет вам услуги DNS-хостинга, перейдите в настройки DNS.

  5. Создайте или измените A-запись для my-site.com таким образом, чтобы она указывала на скопированный IP-адрес:

    my-site.com. A <IP-адрес_L7-балансировщика>

    Если вы пользуетесь Yandex Cloud DNS, настройте запись по следующей инструкции:

    Инструкция по настройке DNS-записей для Cloud DNS

    Чтобы получить доступ к именам из публичной зоны, вам нужно делегировать домен. Укажите адреса серверов ns1.yandexcloud.net и ns2.yandexcloud.net в личном кабинете вашего регистратора.

    1. В консоли управления выберите каталог.
    2. Перейдите в сервис Cloud DNS.
    3. Если у вас нет публичной зоны DNS, создайте ее:
      1. Нажмите кнопку Создать зону.
      2. Укажите Имя зоны: tls-termination-dns.
      3. В поле Зона укажите доменное имя сайта с точкой в конце: my-site.com.
      4. Выберите Тип зоны — Публичная.
      5. Нажмите кнопку Создать.
    4. Создайте запись в зоне:
      1. В списке зон нажмите на зону tls-termination-dns.
      2. Нажмите кнопку Создать запись.
      3. Поле Имя оставьте пустым, чтобы запись соответствовала доменному имени my-site.com (а не имени с субдоменом, например www.my-site.com).
      4. Выберите Тип записи — A.
      5. В поле Значение вставьте скопированный IP-адрес балансировщика.
      6. Нажмите кнопку Создать.

После настройки DNS, проверьте работу хостинга.

Проверьте работу хостинга

Чтобы проверить работу хостинга:

  1. Создайте главную страницу сайта — файл index.html

    Пример файла index.html
    <!DOCTYPE html>
<html>
  <head>
    <title>My site</title>
  </head>
  <body>
    <h1>This is my site</h1>
  </body>
</html>

  2. Загрузите файл index.html на каждую ВМ:

    1. В блоке Сеть на странице виртуальной машины в консоли управления найдите публичный IP-адрес виртуальной машины.

    2. Подключитесь к виртуальной машине по протоколу SSH.

    3. Выдайте права на запись для вашего пользователя на директорию /var/www/html:

      sudo chown -R "$USER":www-data /var/www/html

      sudo chown -R "$USER":apache /var/www/html

    4. Загрузите на ВМ файлы сайта с помощью протокола SCP.

      Используйте утилиту командной строки scp:

      scp -r <путь_до_директории_с_файлами> <имя_пользователя_ВМ>@<IP-адрес_виртуальной_машины>:/var/www/html

      С помощью программы WinSCP скопируйте локальную директорию с файлами в директорию /var/www/html на ВМ.

  3. В браузере откройте сайт по адресу http://my-site.com — должно произойти перенаправление на страницу https://my-site.com, где уже подключен TLS-сертификат из Certificate Manager.

Как удалить созданные ресурсы

Чтобы перестать платить за созданные ресурсы:

  1. Удалите L7-балансировщик mysite-alb.
  2. Удалите HTTP-роутер mysite-router.
  3. Удалите группу бэкендов my-site-bg.
  4. Удалите группу ВМ mysite-ig.
  5. Удалите зарезервированный статический публичный IP-адрес.
  6. Если вы использовали Cloud DNS, то удалите DNS-записи и удалите DNS-зону.

Полезные ссылки

Предыдущая
Обзор
Следующая
Терминирование TLS-соединений с помощью Terraform