¿Por qué falla la conexión HTTPS entre mi distribución de CloudFront y el equilibrador de carga?

Resolución

Los problemas con el certificado SSL, los grupos de seguridad o la lista de control de acceso (ACL) a la red asociados provocan errores de comunicación de HTTPS. Asegúrate de que tu distribución y equilibrador de carga cumplan con los siguientes requisitos de seguridad:

• Debes tener un certificado SSL/TLS válido instalado en el equilibrador de carga. Si sigues recibiendo errores de HTTPS después de instalar el certificado SSL/TLS, soluciona el problema de la conexión SSL/TLS entre CloudFront y el servidor de origen personalizado.
• Para conectar la distribución a al equilibrador de carga en el puerto 443, los grupos de seguridad del equilibrador de carga deben permitir el tráfico del puerto 443 desde las direcciones IP de CloudFront. Para más información, consulta Configuración de grupos de seguridad para el equilibrador de carga clásico o Grupos de seguridad para el equilibrador de carga de aplicación.
• Para permitir únicamente las direcciones IP de CloudFront en el grupo de seguridad adjunto a tu distribución, utiliza la lista de prefijos gestionados por AWS. Esta lista contiene todas las direcciones IP de CloudFront y se actualiza automáticamente con cualquier cambio. Para más información, consulta Limitar el acceso a los orígenes mediante la lista de prefijos gestionados por AWS para Amazon CloudFront.
• Las ACL de red asociadas a Amazon Virtual Private Cloud (Amazon VPC) del equilibrador de carga deben permitir el tráfico de CloudFront en los puertos HTTPS. Normalmente, es el puerto 443.
• Si has creado un equilibrador de carga de aplicación interno, CloudFront no puede redirigir las solicitudes a ese equilibrador a menos que lo agregues como origen de VPC.

Nota: Puedes usar la indicación del nombre del servidor (SNI) para agregar varios certificados SSL/TLS con una selección inteligente al equilibrador de carga de aplicación. Si la distribución almacena contenido en la caché en función del encabezado del host, configura un certificado SSL/TLS con el mismo nombre en el equilibrador de carga de aplicación. De lo contrario, el equilibrador de carga de aplicación usará el certificado predeterminado, que podría no coincidir con la SNI asociada al mensaje ClientHello de CloudFront.

Información relacionada

Solicitud de HTTPS para la comunicación entre CloudFront y su origen personalizado