Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà. # Configura il Classic Load Balancer Dopo aver creato un Classic Load Balancer, puoi modificarne la configurazione. Ad esempio, è possibile aggiornare gli attributi del load balancer, le sottoreti e i gruppi di sicurezza.Attributi del sistema di bilanciamento del carico [Drenaggio della connessione](config-conn-drain.md) Se abilitata, il load balancer consente il completamento delle richieste esistenti prima che trasferisca il traffico da un'istanza non integra o la cui registrazione è stata annullata. [Bilanciamento del carico su più zone](enable-disable-crosszone-lb.md) Se abilitata, il load balancer instrada il traffico richiesto in modo uniforme su tutte le istanze, a prescindere dalle zone di disponibilità. [Modalità di migrazione Desync](config-desync-mitigation-mode.md) Determina il modo in cui il sistema di bilanciamento del carico gestisce le richieste che potrebbero rappresentare un rischio per la sicurezza dell'applicazione. I valori possibili sono `monitor`, `defensive` e `strictest`. Il valore predefinito è `defensive`. [Timeout di inattività](config-idle-timeout.md) Se abilitata, il load balancer consente alle connessioni di rimanere inattive (i dati non vengono inviati sulla connessione) per la durata specificata. Il valore predefinito è 60 secondi. [Sessioni permanenti](elb-sticky-sessions.md) I Load Balancer Classic supportano la persistenza delle sessioni in base alla durata e all'applicazione.Dettagli del sistema di bilanciamento del carico [Gruppi di sicurezza](elb-vpc-security-groups.md) I gruppi di sicurezza del sistema di bilanciamento del carico devono consentire il traffico sulle porte listener e health check. [Sottoreti](elb-manage-subnets.md) È possibile espandere la capacità del sistema di bilanciamento del carico a sottoreti aggiuntive. [Protocollo proxy](enable-proxy-protocol.md) Se abilitata, aggiungiamo un'intestazione con le informazioni di connessione che vengono inviate all'istanza. [Tag](add-remove-tags.md) Puoi aggiungere tag per classificare i tuoi sistemi di bilanciamento del carico. # Configura il timeout per connessione inattiva per il Classic Load Balancer Per ogni richiesta che un client fa attraverso un Classic Load Balancer, questo gestisce due connessioni: La connessione front-end è tra il client e il load balancer. La connessione back-end è tra il load balancer e un'istanza EC2 registrata. Il load balancer ha configurato un periodo di timeout di inattività che si applica anche alle sue connessioni. Se allo scadere di questo periodo di timeout di inattività non vengono inviati o ricevuti dati, il load balancer chiude la connessione. Per garantire tempo sufficiente per il completamento delle operazioni di lunga durata (ad esempio il caricamento di file), invia almeno 1 byte di dati prima dello scadere di ogni periodo di timeout di inattività e aumenta la durata del periodo in base alle esigenze. Se utilizzi i listener HTTP e HTTPS, è consigliabile abilitare l'opzione keep-alive HTTP per le tue istanze. Puoi abilitare keep-alive nelle impostazioni del server Web per le tue istanze. Keep-alive, quando abilitato, consente al load balancer di riutilizzare le connessioni back-end fino alla scadenza del timeout keep-alive. Per garantire che il load balancer sia responsabile della chiusura delle connessioni all'istanza, assicurati che il valore impostato per il tempo di keep-alive HTTP sia superiore all'impostazione del timeout di inattività configurata sul load balancer. Si noti che le sonde keep-alive TCP non impediscono al load balancer di terminare la connessione perché non inviano dati nel payload. **Topics** + [Configura il tempo di inattività utilizzando la console](#config-idle-timeout-console) + [Configurare il timeout di inattività utilizzando il AWS CLI](#config-idle-timeout-awscli) ## Configura il tempo di inattività utilizzando la console Per impostazione predefinita, Elastic Load Balancing imposta il tempo di inattività per il load balancer su 60 secondi. Utilizzare la procedura seguente per impostare un valore diverso per il timeout di inattività. **Per configurare l'impostazione del timeout di inattività per il sistema di bilanciamento del carico utilizzando la console** 1. Apri la console Amazon EC2 all'indirizzo [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. Nel pannello di navigazione, sotto **Bilanciamento del carico**, scegli **Sistemi di bilanciamento del carico**. 1. Scegli il nome del sistema di bilanciamento del carico per aprirne la pagina dei dettagli. 1. Nella scheda **Attributi**, scegli **Modifica**. 1. Nella pagina **Modifica attributi del sistema di bilanciamento del carico**, nella sezione **Configurazione del traffico**, digita un valore in **Tempo di inattività**. L'intervallo per il timeout di inattività è compreso tra 1 e 4.000 secondi. 1. Scegli **Save changes** (Salva modifiche). ## Configurare il timeout di inattività utilizzando il AWS CLI Usa il seguente [modify-load-balancer-attributes](https://docs.aws.amazon.com/cli/latest/reference/elb/modify-load-balancer-attributes.html)comando per impostare il timeout di inattività per il tuo sistema di bilanciamento del carico: ``` aws elb modify-load-balancer-attributes --load-balancer-name my-loadbalancer --load-balancer-attributes "{\"ConnectionSettings\":{\"IdleTimeout\":30}}" ``` Di seguito è riportata una risposta di esempio: ``` { "LoadBalancerAttributes": { "ConnectionSettings": { "IdleTimeout": 30 } }, "LoadBalancerName": "my-loadbalancer" } ``` # Configura il load balancer tra zone per il Classic Load Balancer Con il *bilanciamento del carico su più zone*, ogni nodo del load balancer per Classic Load Balancer distribuisce le richieste in modo uniforme su istanze registrate in tutte le zone di disponibilità abilitate. Se il load balancer su più zone non è attivo, ogni nodo di load balancer distribuisce le richieste in modo uniforme sulle istanze registrate solo nella relativa zona di disponibilità. Per ulteriori informazioni, consulta [Bilanciamento del carico su più zone](https://docs.aws.amazon.com/elasticloadbalancing/latest/userguide/how-elastic-load-balancing-works.html#cross-zone-load-balancing) nella *Guida per l'utente di Elastic Load Balancing*. Il load balancer tra zone riduce la necessità di mantenere numeri equivalenti di istanze in ciascuna zona di disponibilità abilitata e migliora le capacità della tua applicazione di gestire la perdita di una o più istanze. Tuttavia, consigliamo di mantenere comunque numeri di istanze più o meno equivalenti in ciascuna zona di disponibilità abilitata per una maggiore tolleranza ai guasti. Per gli ambienti in cui i client memorizzano nella cache le ricerche DNS, le richieste in entrata potrebbero preferire una delle zone di disponibilità. Utilizzando il load balancer su più zone, questo squilibrio nel carico di richieste viene distribuito su tutte le istanze disponibili della regione, riducendo l'impatto dei client malfunzionanti. Quando si crea un Classic Load Balancer, l'impostazione predefinita per il load balancer tra zone dipende dal modo in cui crei il load balancer. Con l'API o la CLI, il load balancer tra zone è disabilitato per impostazione predefinita. Con Console di gestione AWS, l'opzione per abilitare il bilanciamento del carico tra zone è selezionata per impostazione predefinita. Dopo aver creato un Classic Load Balancer, è possibile abilitare o disabilitare il load balancer tra zone in qualsiasi momento. **Topics** + [Abilita il load balancer tra zone](#enable-cross-zone) + [Disabilita il load balancer tra zone](#disable-cross-zone) ## Abilita il load balancer tra zone Puoi abilitare il load balancer tra zone per il tuo Classic Load Balancer in qualsiasi momento. **Per abilitare il bilanciamento del carico su più zone utilizzando la console** 1. Apri la console Amazon EC2 all'indirizzo [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. Nel pannello di navigazione, sotto **Bilanciamento del carico**, scegli **Sistemi di bilanciamento del carico**. 1. Scegli il nome del sistema di bilanciamento del carico per aprirne la pagina dei dettagli. 1. Nella scheda **Attributi**, scegli **Modifica**. 1. Nella pagina **Modifica attributi del sistema di bilanciamento del carico**, nella sezione **Configurazione del routing della zona di disponibilità**, abilita **Bilanciamento del carico tra zone**. 1. Scegli **Save changes** (Salva modifiche). **Per abilitare il bilanciamento del carico tra zone utilizzando il AWS CLI** 1. Utilizzate il seguente [modify-load-balancer-attributes](https://docs.aws.amazon.com/cli/latest/reference/elb/modify-load-balancer-attributes.html)comando per impostare l'`CrossZoneLoadBalancing`attributo del vostro sistema di bilanciamento del carico su: `true` ``` aws elb modify-load-balancer-attributes --load-balancer-name my-loadbalancer --load-balancer-attributes "{\"CrossZoneLoadBalancing\":{\"Enabled\":true}}" ``` Di seguito è riportata una risposta di esempio: ``` { "LoadBalancerAttributes": { "CrossZoneLoadBalancing": { "Enabled": true } }, "LoadBalancerName": "my-loadbalancer" } ``` 1. (Facoltativo) Utilizzate il seguente [describe-load-balancer-attributes](https://docs.aws.amazon.com/cli/latest/reference/elb/describe-load-balancer-attributes.html)comando per verificare che il bilanciamento del carico tra zone sia abilitato per il sistema di bilanciamento del carico: ``` aws elb describe-load-balancer-attributes --load-balancer-name my-loadbalancer ``` Di seguito è riportata una risposta di esempio: ``` { "LoadBalancerAttributes": { "ConnectionDraining": { "Enabled": false, "Timeout": 300 }, "CrossZoneLoadBalancing": { "Enabled": true }, "ConnectionSettings": { "IdleTimeout": 60 }, "AccessLog": { "Enabled": false } } } ``` ## Disabilita il load balancer tra zone Puoi disabilitare l'opzione di bilanciamento del carico tra per il tuo load balancer in qualsiasi momento. **Per disabilitare il load balancer tra zone utilizzando la console** 1. Apri la console Amazon EC2 all'indirizzo [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. Nel pannello di navigazione, sotto **Bilanciamento del carico**, scegli **Sistemi di bilanciamento del carico**. 1. Scegli il nome del sistema di bilanciamento del carico per aprirne la pagina dei dettagli. 1. Nella scheda **Attributi**, scegli **Modifica**. 1. Nella pagina **Modifica attributi del sistema di bilanciamento del carico**, nella sezione **Configurazione del routing della zona di disponibilità**, disabilita **Bilanciamento del carico tra zone**. 1. Scegli **Save changes** (Salva modifiche). Per disabilitare il bilanciamento del carico tra zone, impostare l'attributo `CrossZoneLoadBalancing` del load balancer su `false`. **Per disabilitare il bilanciamento del carico tra zone utilizzando il AWS CLI** 1. Utilizzando il seguente comando [modify-load-balancer-attributes](https://docs.aws.amazon.com/cli/latest/reference/elb/modify-load-balancer-attributes.html): ``` aws elb modify-load-balancer-attributes --load-balancer-name my-loadbalancer --load-balancer-attributes "{\"CrossZoneLoadBalancing\":{\"Enabled\":false}}" ``` Di seguito è riportata una risposta di esempio: ``` { "LoadBalancerAttributes": { "CrossZoneLoadBalancing": { "Enabled": false } }, "LoadBalancerName": "my-loadbalancer" } ``` 1. (Facoltativo) Utilizzate il seguente [describe-load-balancer-attributes](https://docs.aws.amazon.com/cli/latest/reference/elb/describe-load-balancer-attributes.html)comando per verificare che il bilanciamento del carico tra zone sia disabilitato per il sistema di bilanciamento del carico: ``` aws elb describe-load-balancer-attributes --load-balancer-name my-loadbalancer ``` Di seguito è riportata una risposta di esempio: ``` { "LoadBalancerAttributes": { "ConnectionDraining": { "Enabled": false, "Timeout": 300 }, "CrossZoneLoadBalancing": { "Enabled": false }, "ConnectionSettings": { "IdleTimeout": 60 }, "AccessLog": { "Enabled": false } } } ``` # Configura il Connection Draining per il Classic Load Balancer Per garantire che un Classic Load Balancer interrompa l'invio di richieste alle istanze non integre o di cui è in corso l'annullamento della registrazione, mantenendo aperte le connessioni esistenti, utilizza *Connection Draining*. In questo modo il load balancer può completare le richieste in transito effettuate per le istanze non integre o per le quali si sta eseguendo l'annullamento della registrazione. Quando si abilita Connection Draining, è possibile specificare un intervallo di tempo massimo durante il quale il load balancer mantiene le connessioni attive prima di segnalare l'istanza come con registrazione annullata. Il valore di timeout massimo può essere impostato tra 1 e 3.600 secondi (l'impostazione predefinita è 300 secondi). Quando viene raggiunto il limite massimo, il load balancer chiude forzatamente le connessioni all'istanza con registrazione annullata. Se un'istanza in fase di annullamento della registrazione non ha richieste in corso né connessioni attive, Elastic Load Balancing completa immediatamente il processo di annullamento della registrazione. Mentre vengono gestite le richieste in transito, il load balancer segnala lo stato di un'istanza come `InService: Instance deregistration currently in progress`. Quando l'istanza di cui è in corso l'annullamento della registrazione ha finito di gestire tutte le richieste in transito, o quando viene raggiunto il limite massimo di timeout, il load balancer segnala l'istanza come `OutOfService: Instance is not currently registered with the LoadBalancer`. Se un'istanza diventa non integra, il load balancer segnala il rispettivo stato come `OutOfService`. Eventuali richieste in transito effettuate all'istanza non integra verranno completate. Il limite massimo di timeout non è valido per le connessioni alle istanze non integre. Se le istanze fanno parte di un gruppo Auto Scaling e per il load balancer è abilitato Connection Draining, Auto Scaling attende il completamento delle richieste in transito o la scadenza del timeout massimo, prima di terminare le istanze a causa di un evento di dimensionamento o della sostituzione del controllo dello stato. È possibile disabilitare Connection Draining se si desidera che il load balancer chiuda immediatamente le connessioni alle istanze di cui è in corso l'annullamento della registrazione o che sono diventate non integre. Quando Connection Draining è disabilitato, le richieste in transito effettuate alle istanze non integre o di cui è in corso l'annullamento della registrazione non vengono completate. **Topics** + [Abilita Connection Draining](#enable-conn-drain) + [Disabilita Connection Draining](#disable-conn-drain) ## Abilita Connection Draining Puoi abilitare Connection Draining per il tuo load balancer in qualsiasi momento. **Per abilitare Connection Draining utilizzando la console** 1. Apri la console Amazon EC2 all'indirizzo [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. Nel pannello di navigazione, sotto **Bilanciamento del carico**, scegli **Sistemi di bilanciamento del carico**. 1. Scegli il nome del sistema di bilanciamento del carico per aprirne la pagina dei dettagli. 1. Nella scheda **Attributi**, scegli **Modifica**. 1. Nella pagina **Modifica attributi del sistema di bilanciamento del carico**, nella sezione **Configurazione del traffico**, seleziona **Abilita svuotamento della connessione**. 1. (Facoltativo) Per **Timeout (intervallo di svuotamento)**, digita un valore compreso tra 1 e 3.600 secondi. In caso contrario, viene utilizzato il valore predefinito di 300 secondi. 1. Scegli **Save changes** (Salva modifiche). **Per abilitare il drenaggio della connessione utilizzando il AWS CLI** Utilizzando il seguente comando [modify-load-balancer-attributes](https://docs.aws.amazon.com/cli/latest/reference/elb/modify-load-balancer-attributes.html): ``` aws elb modify-load-balancer-attributes --load-balancer-name my-loadbalancer --load-balancer-attributes "{\"ConnectionDraining\":{\"Enabled\":true,\"Timeout\":300}}" ``` Di seguito è riportata una risposta di esempio: ``` { "LoadBalancerAttributes": { "ConnectionDraining": { "Enabled": true, "Timeout": 300 } }, "LoadBalancerName": "my-loadbalancer" } ``` ## Disabilita Connection Draining Puoi disabilitare Connection Draining per il tuo load balancer in qualsiasi momento. **Per disabilitare Connection Draining utilizzando la console** 1. Apri la console Amazon EC2 all'indirizzo [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. Nel pannello di navigazione, sotto **Bilanciamento del carico**, scegli **Sistemi di bilanciamento del carico**. 1. Scegli il nome del sistema di bilanciamento del carico per aprirne la pagina dei dettagli. 1. Nella scheda **Attributi**, scegli **Modifica**. 1. Nella pagina **Modifica attributi del sistema di bilanciamento del carico**, nella sezione **Configurazione del traffico**, deseleziona **Abilita svuotamento della connessione**. 1. Scegli **Save changes** (Salva modifiche). **Per disabilitare il drenaggio della connessione utilizzando il AWS CLI** Utilizzando il seguente comando [modify-load-balancer-attributes](https://docs.aws.amazon.com/cli/latest/reference/elb/modify-load-balancer-attributes.html): ``` aws elb modify-load-balancer-attributes --load-balancer-name my-loadbalancer --load-balancer-attributes "{\"ConnectionDraining\":{\"Enabled\":false}}" ``` Di seguito è riportata una risposta di esempio: ``` { "LoadBalancerAttributes": { "ConnectionDraining": { "Enabled": false, "Timeout": 300 } }, "LoadBalancerName": "my-loadbalancer" } ``` # Configura le sticky session per il Classic Load Balancer Per impostazione predefinita, un Classic Load Balancer esegue il routing di ogni richiesta in modo indipendente all'istanza registrata con il carico minore. Tuttavia, è possibile usare la caratteristica *sticky session* (nota anche come *affinità di sessione*), che consente al load balancer di associare una sessione utente a un'istanza specifica. Questo garantisce che durante la sessione tutte le richieste dell'utente vengano inviate alla stessa istanza. La chiave per la gestione delle sticky session consiste nel determinare per quanto tempo il tuo load balancer deve instradare costantemente la richiesta dell'utente verso la stessa istanza. Se la tua applicazione ha il proprio cookie di sessione, puoi configurare Elastic Load Balancing in modo che il cookie della sessione rispetti la durata specificata dal cookie della sessione dell'applicazione. Se la tua applicazione non ha un proprio cookie di sessione, puoi configurare Elastic Load Balancing per creare un cookie della sessione specificando la durata della persistenza. Elastic Load Balancing crea un cookie, denominato AWSELB, che viene utilizzato per mappare la sessione all'istanza. **Requisiti** + Un sistema di HTTP/HTTPS bilanciamento del carico. + Almeno un'istanza integra in ciascuna zona di disponibilità. **Compatibilità** + L'RFC per il percorso di proprietà di un cookie consente i caratteri di sottolineatura. Tuttavia, l'URI Elastic Load Balancing codifica i caratteri di sottolineatura come `%5F`, in quanto alcuni browser, ad esempio Internet Explorer 7, prevedono che i caratteri di sottolineatura siano con codifica URI `%5F`. A causa del potenziale impatto sui browser attualmente in funzione, Elastic Load Balancing continua ad applicare la codifica URI ai caratteri di sottolineatura. Ad esempio, se il cookie presenta la proprietà `path=/my_path`, Elastic Load Balancing modifica questa proprietà nella richiesta inoltrata a `path=/my%5Fpath`. + Non è possibile impostare il flag `secure` o `HttpOnly` sui cookie di persistenza della sessione basati sulla durata. Tuttavia, questi cookie non contengono informazioni sensibili. Tieni presente che se imposti il `secure` flag o il `HttpOnly` flag su un cookie di persistenza della sessione controllato dall'applicazione, questo viene impostato anche sul cookie. AWSELB + Se nel campo `Set-Cookie` di un cookie di applicazione è presente un punto e virgola finale, il load balancer ignora il cookie. **Topics** + [Persistenza della sessione basata sulla durata](#enable-sticky-sessions-duration) + [Persistenza della sessione controllata dalle applicazioni](#enable-sticky-sessions-application) ## Persistenza della sessione basata sulla durata Il load balancer utilizza un cookie speciale per tracciare l'istanza di ogni richiesta a ciascun listener. AWSELB Quando il load balancer riceve una richiesta, verifica innanzitutto se questo cookie è presente nella richiesta. In questo caso, la richiesta viene inviata all'istanza specificata nel cookie. Se non sono presenti cookie, il load balancer sceglie un'istanza in base all'algoritmo di bilanciamento del carico esistente. Viene inserito un cookie nella risposta per le richieste successive vincolanti dallo stesso utente a quell'istanza. La configurazione della policy di persistenza definisce la scadenza di un cookie, che stabilisce la durata della validità per ciascun cookie. Il load balancer non aggiorna il periodo di scadenza del cookie e non verifica se il cookie è scaduto prima di utilizzarlo. Una volta scaduto un cookie, la sessione non è più una sticky session. Il client deve rimuovere il cookie dal rispettivo archivio alla scadenza. Con le richieste CORS (cross-origin resource sharing), alcuni browser richiedono a `SameSite=None; Secure` di abilitare la stickness. In questo caso, Elastic Load Balancing crea un secondo cookie di adesività AWSELBCORS, che include le stesse informazioni del cookie di adesività originale più questo attributo. `SameSite` I clienti ricevono entrambi i cookie. Se un'istanza non riesce o diventa non integra, il load balancer interrompe il routing delle richieste a quell'istanza e sceglie una nuova istanza integra in base all'algoritmo del load balancer esistente. La richiesta viene instradata verso la nuova istanza, come se non vi fosse alcun cookie e la sessione non è più una sticky session. Se un client passa a un listener con una porta di back-end diversa, la persistenza viene persa. **Per abilitare le sticky session basate sulla durata per un load balancer utilizzando la console** 1. Apri la console Amazon EC2 all'indirizzo [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. Nel pannello di navigazione, sotto **Bilanciamento del carico**, scegli **Sistemi di bilanciamento del carico**. 1. Scegli il nome del sistema di bilanciamento del carico per aprirne la pagina dei dettagli. 1. Nella scheda **Listener**, scegli **Gestisci ascoltatori**. 1. Nella pagina **Gestisci ascoltatori**, individua l'ascoltatore da aggiornare e scegli **Modifica** in **Viscosità dei cookie**. 1. **Nel pop-up **Modifica l'impostazione della persistenza dei cookie**, seleziona Generato dal bilanciamento del carico.** 1. (Facoltativo) Per **Periodo di scadenza**, digita il periodo di scadenza del cookie espresso in secondi. Se non si specifica un periodo di scadenza, la sticky session ha la stessa durata della sessione del browser. 1. Scegli **Salva modifiche** per chiudere la finestra pop-up. 1. Scegli **Salva modifiche** per tornare alla pagina dei dettagli del bilanciamento del carico. **Per abilitare sessioni permanenti basate sulla durata per un sistema di bilanciamento del carico, utilizza il AWS CLI** 1. Utilizza il seguente comando [create-lb-cookie-stickiness-policy per creare una politica](https://docs.aws.amazon.com/cli/latest/reference/elb/create-lb-cookie-stickiness-policy.html) di persistenza dei cookie generata dal sistema di bilanciamento del carico con un periodo di scadenza dei cookie di 60 secondi: ``` aws elb create-lb-cookie-stickiness-policy --load-balancer-name my-loadbalancer --policy-name my-duration-cookie-policy --cookie-expiration-period 60 ``` 1. Utilizzate il seguente comando [set-load-balancer-policies-of-listener](https://docs.aws.amazon.com/cli/latest/reference/elb/set-load-balancer-policies-of-listener.html) per abilitare la persistenza della sessione per il sistema di bilanciamento del carico specificato: ``` aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-duration-cookie-policy ``` **Nota** Il comando `set-load-balancer-policies-of-listener` sostituisce il set di policy corrente associato alla porta del load balancer specificata. Ogni volta che si utilizza il comando, specificare l'opzione `--policy-names` per elencare tutte le policy da abilitare. 1. (Facoltativo) Utilizzate il [describe-load-balancers](https://docs.aws.amazon.com/cli/latest/reference/elb/describe-load-balancers.html)comando seguente per verificare che la policy sia abilitata: ``` aws elb describe-load-balancers --load-balancer-name my-loadbalancer ``` La risposta include le seguenti informazioni, che mostrano che la policy è abilitata per il listener sulla porta specificata: ``` { "LoadBalancerDescriptions": [ { ... "ListenerDescriptions": [ { "Listener": { "InstancePort": 443, "SSLCertificateId": "arn:aws:iam::123456789012:server-certificate/my-server-certificate", "LoadBalancerPort": 443, "Protocol": "HTTPS", "InstanceProtocol": "HTTPS" }, "PolicyNames": [ "my-duration-cookie-policy", "ELBSecurityPolicy-TLS-1-2-2017-01" ] }, ... ], ... "Policies": { "LBCookieStickinessPolicies": [ { "PolicyName": "my-duration-cookie-policy", "CookieExpirationPeriod": 60 } ], "AppCookieStickinessPolicies": [], "OtherPolicies": [ "ELBSecurityPolicy-TLS-1-2-2017-01" ] }, ... } ] } ``` ## Persistenza della sessione controllata dalle applicazioni Il load balancer utilizza un cookie speciale per associare la sessione all'istanza che ha gestito la richiesta iniziale, ma segue il ciclo di vita del cookie dell'applicazione specificato nella configurazione della policy. Il load balancer inserisce solo un nuovo cookie di persistenza, se la risposta dell'applicazione include un nuovo cookie dell'applicazione. Il cookie di persistenza del load balancer non si aggiorna con ogni richiesta. Se il cookie dell'applicazione viene rimosso esplicitamente o scade, la sessione smette di essere un sticky session fino a quando non viene rilasciato un nuovo cookie dell'applicazione. I seguenti attributi impostati dalle istanze back-end vengono inviati ai client nel cookie: `path`, `port`, `domain`, `secure`, `httponly`, `discard`, `max-age`, `expires`, `version`, `comment`, `commenturl` e `samesite`. Se un'istanza non riesce o diventa non integra, il load balancer interrompe il routing delle richieste a quell'istanza e sceglie una nuova istanza integra in base all'algoritmo del load balancer esistente. Il load balancer tratta la sessione come bloccata sulla nuova istanza integra e continua a instradare le richieste verso quell'istanza, anche se l'istanza non riuscita torna indietro. **Per abilitare la persistenza della sessione controllata dall'applicazione utilizzando la console** 1. Apri la console Amazon EC2 all'indirizzo [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. Nel pannello di navigazione, sotto **Bilanciamento del carico**, scegli **Sistemi di bilanciamento del carico**. 1. Scegli il nome del sistema di bilanciamento del carico per aprirne la pagina dei dettagli. 1. Nella scheda **Listener**, scegli **Gestisci ascoltatori**. 1. Nella pagina **Gestisci ascoltatori**, individua l'ascoltatore da aggiornare e scegli **Modifica** in **Viscosità dei cookie**. 1. Seleziona **Generato dall'applicazione**. 1. Per **Cookie Name (Nome cookie)**, digitare il nome del cookie dell'applicazione. 1. Scegli **Save changes** (Salva modifiche). **Per abilitare la persistenza della sessione controllata dall'applicazione utilizzando il AWS CLI** 1. Utilizzate il seguente comando [create-app-cookie-stickiness-policy per creare una politica di](https://docs.aws.amazon.com/cli/latest/reference/elb/create-app-cookie-stickiness-policy.html) persistenza dei cookie generata dall'applicazione: ``` aws elb create-app-cookie-stickiness-policy --load-balancer-name my-loadbalancer --policy-name my-app-cookie-policy --cookie-name my-app-cookie ``` 1. Utilizzate il seguente comando [set-load-balancer-policies-of-listener](https://docs.aws.amazon.com/cli/latest/reference/elb/set-load-balancer-policies-of-listener.html) per abilitare la persistenza della sessione per un sistema di bilanciamento del carico: ``` aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-app-cookie-policy ``` **Nota** Il comando `set-load-balancer-policies-of-listener` sostituisce il set di policy corrente associato alla porta del load balancer specificata. Ogni volta che si utilizza il comando, specificare l'opzione `--policy-names` per elencare tutte le policy da abilitare. 1. (Facoltativo) Utilizzate il seguente [describe-load-balancers](https://docs.aws.amazon.com/cli/latest/reference/elb/describe-load-balancers.html)comando per verificare che la policy permanente sia abilitata: ``` aws elb describe-load-balancers --load-balancer-name my-loadbalancer ``` 1. La risposta include le seguenti informazioni, che mostrano che la policy è abilitata per il listener sulla porta specificata: ``` { "LoadBalancerDescriptions": [ { ... "ListenerDescriptions": [ { "Listener": { "InstancePort": 443, "SSLCertificateId": "arn:aws:iam::123456789012:server-certificate/my-server-certificate", "LoadBalancerPort": 443, "Protocol": "HTTPS", "InstanceProtocol": "HTTPS" }, "PolicyNames": [ "my-app-cookie-policy", "ELBSecurityPolicy-TLS-1-2-2017-01" ] }, { "Listener": { "InstancePort": 80, "LoadBalancerPort": 80, "Protocol": "TCP", "InstanceProtocol": "TCP" }, "PolicyNames": [] } ], ... "Policies": { "LBCookieStickinessPolicies": [], "AppCookieStickinessPolicies": [ { "PolicyName": "my-app-cookie-policy", "CookieName": "my-app-cookie" } ], "OtherPolicies": [ "ELBSecurityPolicy-TLS-1-2-2017-01" ] }, ... } ] } ``` # Configura la modalità di attenuazione della desincronizzazione per Classic Load Balancer La modalità di attenuazione della desincronizzazione protegge l'applicazione da problemi dovuti alla desincronizzazione HTTP. Il load balancer classifica ogni richiesta in base al relativo livello di minaccia, consente le richieste sicure e quindi riduce i rischi come specificato dalla modalità di attenuazione specificata. Le modalità di attenuazione della desincronizzazione sono monitorate, difensive e più rigorose. L'impostazione predefinita è la modalità difensiva, che fornisce un'attenuazione duratura contro la desincronizzazione HTTP mantenendo la disponibilità dell'applicazione. È possibile passare alla modalità più rigorosa per garantire che l'applicazione riceva solo richieste conformi a RFC 7230. La libreria http\$1desync\$1guardian analizza le richieste HTTP per prevenire gli attacchi di desincronizzazione HTTP. Per ulteriori informazioni, consulta [HTTP Desync Guardian](https://github.com/aws/http-desync-guardian) su github. **Topics** + [Classificazioni](#desync-mitigation-classification) + [Modalità](#desync-mitigation-modes) + [Modifica la modalità di attenuazione della desincronizzazione](#update-desync-mitigation-mode) **Suggerimento** Questa configurazione si applica solo ai Classic Load Balancer. Per informazioni valide per Application Load Balancer, consulta [Modalità di attenuazione della desincronizzazione per gli Application Load Balancer](https://docs.aws.amazon.com/elasticloadbalancing/latest/application/application-load-balancers.html#desync-mitigation-mode). ## Classificazioni Le classificazioni sono le seguenti. + Conformità: la richiesta è conforme a RFC 7230 e non presenta minacce per la sicurezza note. + Accettabile: la richiesta non è conforme a RFC 7230 ma non presenta minacce per la sicurezza note. + Ambigua: la richiesta non è conforme a RFC 7230 ma rappresenta un rischio, poiché vari server web e proxy potrebbero gestirla in modo diverso. + Grave: la richiesta comporta un elevato rischio per la sicurezza. Il load balancer blocca la richiesta, fornisce una risposta 400 al client e chiude la connessione client. Gli elenchi seguenti descrivono i problemi di ogni classificazione. **Accettabile** + Un'intestazione contiene un carattere non ASCII o di controllo. + La versione della richiesta contiene un valore non valido. + Esiste un'intestazione Content-Length con un valore pari a 0 per una richiesta GET o HEAD. + L'URI della richiesta contiene uno spazio che non ha codifica URL. **Ambiguo** + L'URI della richiesta contiene caratteri di controllo. + La richiesta contiene sia un'intestazione Transfer-Encoding che un'intestazione Content-Length. + Esistono più intestazioni Content-Length con lo stesso valore. + Un'intestazione è vuota o c'è una riga con solo spazi. + C'è un'intestazione che può essere normalizzata per Transfer-Encoding o Content-Length utilizzando tecniche comuni di normalizzazione del testo. + Esiste un'intestazione Content-Length per una richiesta GET o HEAD. + Esiste un'intestazione Transfer-Encoding per una richiesta GET o HEAD. **Grave** + L'URI della richiesta contiene un carattere nullo o un'andata a capo. + L'intestazione Content-Length contiene un valore che non può essere analizzato o non è un numero valido. + Un'intestazione contiene un carattere nullo o un'andata a capo. + L'intestazione Transfer-Encoding contiene un valore non valido. + Il formato del metodo di richiesta è errato. + Il formato della versione della richiesta è errato. + Esistono più intestazioni Content-Length con valori diversi. + Esistono più Transfer-Encoding: intestazioni a blocchi. Se una richiesta non è conforme a RFC 7230, il bilanciamento del carico incrementa il parametro `DesyncMitigationMode_NonCompliant_Request_Count`. Per ulteriori informazioni, consulta [Parametri Classic Load Balancer](elb-cloudwatch-metrics.md#loadbalancing-metrics-clb). ## Modalità La tabella seguente descrive come i Classic Load Balancer trattano le richieste in base alla modalità e alla classificazione. | Classificazione | Modalità monitorata | Modalità difensiva | Modalità più rigorosa | | --- | --- | --- | --- | | Conforme | Consentito | Consentito | Consentito | | Accettabile | Consentito | Consentito | Bloccato | | Ambiguo | Consentito | Consentito¹ | Bloccato | | Grave | Consentito | Bloccato | Bloccato | ¹ Esegue il routing delle richieste ma chiude le connessioni client e target. ## Modifica la modalità di attenuazione della desincronizzazione **Per aggiornare la modalità di attenuazione della desincronizzazione tramite la console** 1. Apri la console Amazon EC2 all'indirizzo [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. Nel pannello di navigazione, sotto **Bilanciamento del carico**, scegli **Sistemi di bilanciamento del carico**. 1. Scegli il nome del sistema di bilanciamento del carico per aprirne la pagina dei dettagli. 1. Nella scheda **Attributi**, scegli **Modifica**. 1. Nella pagina **Modifica attributi del sistema di bilanciamento del carico**, nella sezione **Configurazione del traffico**, scegli **Difensivo - scelta consigliata**, **Rigido** o **Monitoraggio**. 1. Scegli **Save changes** (Salva modifiche). **Per aggiornare la modalità di mitigazione della desincronizzazione utilizzando il AWS CLI** Utilizzare il [modify-load-balancer-attributes](https://docs.aws.amazon.com/cli/latest/reference/elb/modify-load-balancer-attributes.html)comando con l'`elb.http.desyncmitigationmode`attributo impostato su `monitor``defensive`, o. `strictest` ``` aws elb modify-load-balancer-attributes --load-balancer-name my-load-balancer --load-balancer-attributes file://attribute.json ``` Di seguito sono riportati i contenuti di `attribute.json`. ``` { "AdditionalAttributes": [ { "Key": "elb.http.desyncmitigationmode", "Value": "strictest" } ] } ``` # Configura il protocollo proxy per il tuo Classic Load Balancer Il protocollo proxy è un protocollo internet utilizzato per trasportare informazioni di connessione dall'origine che richiede la connessione alla destinazione per la quale la connessione è stata richiesta. Elastic Load Balancing utilizza il protocollo proxy versione 1, che adotta un formato di intestazione leggibile. Per impostazione predefinita, quando utilizzi Transmission Control Protocol (TCP) sia per le connessioni front-end che back-end, il Classic Load Balancer inoltra le richieste alle istanze senza modificare le intestazioni. Se abiliti il protocollo proxy, alla richiesta viene aggiunta un'intestazione leggibile con le informazioni di connessione, ad esempio l'indirizzo IP di origine, l'indirizzo IP di destinazione e i numeri di porta. L'intestazione viene quindi inviata all'istanza come parte della richiesta. **Nota** Non Console di gestione AWS supporta l'abilitazione del protocollo proxy. **Topics** + [Intestazione del protocollo proxy](#proxy-protocol) + [Prerequisiti per l'abilitazione del protocollo proxy](#proxy-protocol-prerequisites) + [Abilita il protocollo proxy utilizzando il AWS CLI](#enable-proxy-protocol-cli) + [Disabilita il protocollo proxy utilizzando il AWS CLI](#proxy-protocol-disable-policy-cli) ## Intestazione del protocollo proxy L'intestazione del protocollo proxy consente di identificare l'indirizzo IP di un client quando un load balancer utilizza TCP per le connessioni back-end. Poiché i bilanciatori del carico intercettano il traffico tra i client e le istanze, i log di accesso della tua istanza contengono l'indirizzo IP del load balancer anziché il client di origine. È possibile analizzare la prima riga della richiesta per recuperare l'indirizzo IP e il numero di porta del client. L'indirizzo del proxy nell'intestazione di IPv6 è l' IPv6 indirizzo pubblico del sistema di bilanciamento del carico. Questo IPv6 indirizzo corrisponde all'indirizzo IP che viene risolto dal nome DNS del sistema di bilanciamento del carico, che inizia con o. `ipv6` `dualstack` Se il client si connette con IPv4, l'indirizzo del proxy nell'intestazione è l' IPv4 indirizzo privato del load balancer, che non è risolvibile tramite una ricerca DNS. La riga del protocollo proxy è una riga singola che termina con un'andata a capo e un feed di riga (`"\r\n"`) e ha il formato seguente: ``` PROXY_STRING + single space + INET_PROTOCOL + single space + CLIENT_IP + single space + PROXY_IP + single space + CLIENT_PORT + single space + PROXY_PORT + "\r\n" ``` **Esempio: IPv4** Di seguito è riportato un esempio della riga del protocollo proxy per. IPv4 ``` PROXY TCP4 198.51.100.22 203.0.113.7 35646 80\r\n ``` ## Prerequisiti per l'abilitazione del protocollo proxy Prima di iniziare, esegui queste attività: + Verifica che il tuo load balancer non si trovi dietro un server proxy con il protocollo proxy abilitato. Se il protocollo proxy è abilitato sia sul server proxy sia sul load balancer, quest'ultimo aggiunge un'altra intestazione alla richiesta, oltre a quella già aggiunta dal server proxy. A seconda della configurazione dell'istanza, questa duplicazione potrebbe causare errori. + Verifica che le tue istanze siano in grado di elaborare le informazioni del protocollo proxy. + Verifica che le impostazioni del listener supportino il protocollo proxy. Per ulteriori informazioni, consulta [Configurazioni del listener per i Classic Load Balancer](using-elb-listenerconfig-quickref.md). ## Abilita il protocollo proxy utilizzando il AWS CLI Per abilitare il protocollo proxy, devi creare una policy del tipo `ProxyProtocolPolicyType`, quindi abilitarla sulla porta dell'istanza. Utilizza la procedura seguente per creare una nuova policy per il tuo load balancer del tipo `ProxyProtocolPolicyType`, impostare la policy appena creata per l'istanza sulla porta `80` e verificare che la policy sia abilitata. **Per abilitare il protocollo proxy per il proprio load balancer** 1. (Facoltativo) Utilizzate il seguente comando [describe-load-balancer-policy-types](https://docs.aws.amazon.com/cli/latest/reference/elb/describe-load-balancer-policy-types.html) per elencare le politiche supportate da Elastic Load Balancing: ``` aws elb describe-load-balancer-policy-types ``` La risposta include i nomi e le descrizioni dei tipi di policy supportati. L'output per il tipo `ProxyProtocolPolicyType` è il seguente: ``` { "PolicyTypeDescriptions": [ ... { "PolicyAttributeTypeDescriptions": [ { "Cardinality": "ONE", "AttributeName": "ProxyProtocol", "AttributeType": "Boolean" } ], "PolicyTypeName": "ProxyProtocolPolicyType", "Description": "Policy that controls whether to include the IP address and port of the originating request for TCP messages. This policy operates on TCP/SSL listeners only" }, ... ] } ``` 1. Utilizzate il [create-load-balancer-policy](https://docs.aws.amazon.com/cli/latest/reference/elb/create-load-balancer-policy.html)comando seguente per creare una policy che abiliti il protocollo proxy: ``` aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer --policy-name my-ProxyProtocol-policy --policy-type-name ProxyProtocolPolicyType --policy-attributes AttributeName=ProxyProtocol,AttributeValue=true ``` 1. Utilizzate il seguente for-backend-server comando [set-load-balancer-policies-](https://docs.aws.amazon.com/cli/latest/reference/elb/set-load-balancer-policies-for-backend-server.html) per abilitare la policy appena creata sulla porta specificata. Questo comando sostituisce il set corrente di policy abilitate. Pertanto, l'opzione `--policy-names` deve specificare sia la policy che si aggiunge all'elenco (ad esempio `my-ProxyProtocol-policy`) sia eventuali policy che al momento sono abilitate (ad esempio `my-existing-policy`). ``` aws elb set-load-balancer-policies-for-backend-server --load-balancer-name my-loadbalancer --instance-port 80 --policy-names my-ProxyProtocol-policy my-existing-policy ``` 1. (Facoltativo) Utilizzate il seguente [describe-load-balancers](https://docs.aws.amazon.com/cli/latest/reference/elb/describe-load-balancers.html)comando per verificare che il protocollo proxy sia abilitato: ``` aws elb describe-load-balancers --load-balancer-name my-loadbalancer ``` La risposta include le seguenti informazioni, che mostrano che la policy `my-ProxyProtocol-policy` è associata alla porta `80`. ``` { "LoadBalancerDescriptions": [ { ... "BackendServerDescriptions": [ { "InstancePort": 80, "PolicyNames": [ "my-ProxyProtocol-policy" ] } ], ... } ] } ``` ## Disabilita il protocollo proxy utilizzando il AWS CLI Puoi disabilitare le policy associate alla tua istanza e abilitarle in un secondo momento. **Per disabilitare la policy del protocollo proxy** 1. Utilizzate il seguente for-backend-server comando [set-load-balancer-policies-](https://docs.aws.amazon.com/cli/latest/reference/elb/set-load-balancer-policies-for-backend-server.html) per disabilitare la politica del protocollo proxy omettendola dall'`--policy-names`opzione, ma includendo le altre politiche che dovrebbero rimanere abilitate (ad esempio,`my-existing-policy`). ``` aws elb set-load-balancer-policies-for-backend-server --load-balancer-name my-loadbalancer --instance-port 80 --policy-names my-existing-policy ``` Se non ci sono altre politiche da abilitare, specificare una stringa vuota con l'opzione `--policy-names` come segue: ``` aws elb set-load-balancer-policies-for-backend-server --load-balancer-name my-loadbalancer --instance-port 80 --policy-names "[]" ``` 1. (Facoltativo) Utilizzate il [describe-load-balancers](https://docs.aws.amazon.com/cli/latest/reference/elb/describe-load-balancers.html)comando seguente per verificare che la policy sia disabilitata: ``` aws elb describe-load-balancers --load-balancer-name my-loadbalancer ``` La risposta include le seguenti informazioni, che mostrano che alla policy non è associata alcuna porta. ``` { "LoadBalancerDescriptions": [ { ... "BackendServerDescriptions": [], ... } ] } ``` # Assegna un tag a Classic Load Balancer I tag ti aiutano a classificare i bilanciatori del carico in modi diversi, ad esempio in base a scopo, proprietario o ambiente. Puoi aggiungere più tag a ciascun Classic Load Balancer. Le chiavi dei tag devono essere univoche per ogni load balancer. Se aggiungi un tag con una chiave già associata al load balancer, il valore del tag viene aggiornato. Quando il tag non è più necessario, è possibile eliminarlo dal load balancer. **Topics** + [Limitazioni applicate ai tag](#tag-restrictions) + [Aggiungere un tag](#add-tags) + [Rimuovi un tag](#remove-tags) ## Limitazioni applicate ai tag Ai tag si applicano le seguenti limitazioni di base: + Numero massimo di tag per risorsa: 50 + Lunghezza massima della chiave: 127 caratteri Unicode + Lunghezza massima del valore: 255 caratteri Unicode + I valori e le chiavi dei tag rispettano la distinzione tra maiuscole e minuscole. I caratteri consentiti sono lettere, spazi e numeri rappresentabili in formato UTF-8, più i caratteri speciali \$1 - = . \$1 : / @. Non utilizzare spazi iniziali o finali. + Non utilizzate il `aws:` prefisso nei nomi o nei valori dei tag perché è riservato all'uso. AWS Non è possibile modificare né eliminare i nomi o i valori di tag con tale prefisso. I tag con questo prefisso non vengono conteggiati per il limite del numero di tag per risorsa. ## Aggiungere un tag Puoi aggiungere tag al load balancer in qualsiasi momento. **Per aggiungere un tag utilizzando la console** 1. Apri la console Amazon EC2 all'indirizzo [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. Nel pannello di navigazione, sotto **Bilanciamento del carico**, scegli **Sistemi di bilanciamento del carico**. 1. Scegli il nome del sistema di bilanciamento del carico per aprirne la pagina dei dettagli. 1. Nella scheda **Tag** scegliere **Gestisci tag**. 1. Nella pagina **Gestisci i tag**, per ogni tag scegli **Aggiungi nuovo tag**, quindi specifica una chiave e un valore. 1. Dopo aver terminato di aggiungere tag, scegli **Salva modifiche**. **Per aggiungere un tag utilizzando il AWS CLI** Utilizzare il comando [add-tags](https://docs.aws.amazon.com/cli/latest/reference/elb/add-tags.html) seguente per aggiungere il tag specificato: ``` aws elb add-tags --load-balancer-name my-loadbalancer --tag "Key=project,Value=lima" ``` ## Rimuovi un tag Quando non ne hai più bisogno, puoi rimuovere i tag dal tuo load balancer. **Per rimuovere un tag utilizzando la console** 1. Apri la console Amazon EC2 all'indirizzo [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. Nel pannello di navigazione, sotto **Bilanciamento del carico**, scegli **Sistemi di bilanciamento del carico**. 1. Scegli il nome del sistema di bilanciamento del carico per aprirne la pagina dei dettagli. 1. Nella scheda **Tag** scegliere **Gestisci tag**. 1. Nella pagina **Gestisci i tag**, scegli **Rimuovi** accanto a ogni tag che si desidera rimuovere. 1. Dopo aver completato la rimozione dei tag, scegli **Salva modifiche**. **Per rimuovere un tag utilizzando il AWS CLI** Utilizzare il comando [remove-tags](https://docs.aws.amazon.com/cli/latest/reference/elb/remove-tags.html) seguente per rimuovere il tag con la chiave specificata: ``` aws elb remove-tags --load-balancer-name my-loadbalancer --tag project ``` # Configura le sottoreti per il tuo Classic Load Balancer Quando aggiungi una sottorete al load balancer, Elastic Load Balancing crea un nodo del load balancer nella zona di disponibilità. I nodi del load balancer accettano traffico dai client e inoltrano le richieste alle istanze integre registrate in una o più zone di disponibilità. Si consiglia di aggiungere una sottorete per zona di disponibilità per almeno due zone di disponibilità. Questo consente di migliorare la disponibilità del load balancer. Ricorda che puoi modificare le sottoreti per il load balancer in qualsiasi momento. Seleziona le sottoreti dalle stesse zona di disponibilità delle istanze. Se il load balancer in uso è connesso a Internet, occorre selezionare sottoreti pubbliche affinché le istanze di back-end ricevano il traffico dal load balancer (anche se le istanze di back-end si trovano in sottoreti private). Se il load balancer in uso è interno, ti consigliamo di selezionare sottoreti private. Per ulteriori informazioni relative alle sottoreti per il load balancer, consulta [Consigli per il tuo VPC](elb-backend-instances.md#set-up-ec2). Per aggiungere una sottorete, registra le istanze nella zona di disponibilità con il sistema di bilanciamento del carico, quindi collega una sottorete da quella zona di disponibilità al sistema di bilanciamento del carico. Per ulteriori informazioni, consulta [Registra le istanze con il tuo Classic Load Balancer](elb-deregister-register-instances.md). Dopo aver aggiunto una sottorete, il load balancer inizia a instradare le richieste verso le istanze registrate nella zona di disponibilità corrispondente. Per impostazione predefinita, il load balancer instrada le richieste in modo uniforme verso le zone di disponibilità per le sue sottoreti. Per instradare le richieste in modo uniforme verso le istanze registrate nelle zone di disponibilità per le sue sottoreti, abilita il bilanciamento del carico tra zone. Per ulteriori informazioni, consulta [Configura il load balancer tra zone per il Classic Load Balancer](enable-disable-crosszone-lb.md). Potrebbe essere necessario rimuovere una sottorete dal load balancer temporaneamente quando la sua zona di disponibilità non contiene istanze integre registrate o quando si desidera risolvere problemi relativi alle istanze registrate o aggiornare le istanze registrate. Dopo aver rimosso una sottorete, il load balancer interrompe il routing delle richieste alle istanze registrate nella sua zona di disponibilità, ma continua a instradare le richieste verso le istanze registrate nelle zone di disponibilità per le sottoreti rimanenti. Tieni presente che dopo aver rimosso una sottorete, le istanze in quella sottorete rimangono registrate con il sistema di bilanciamento del carico, ma puoi annullarne la registrazione se lo desideri. Per ulteriori informazioni, consulta [Registra le istanze con il tuo Classic Load Balancer](elb-deregister-register-instances.md). **Topics** + [Requisiti](#elb-subnet-requirements) + [Configura le sottoreti utilizzando la console](#add-remove-subnets-console) + [Configurare le sottoreti utilizzando la CLI](#add-remove-subnets-cli) ## Requisiti Quando si aggiornano le sottoreti per load balancer, occorre soddisfare i seguenti requisiti: + Il load balancer devono disporre di almeno una sottorete in qualsiasi momento. + È possibile aggiungere al massimo una sottorete per zona di disponibilità. + Non è possibile aggiungere una sottorete di zona locale. Poiché esistono sottoreti separate da APIs aggiungere e rimuovere da un sistema di bilanciamento del carico, è necessario considerare attentamente l'ordine delle operazioni quando si sostituiscono le sottoreti correnti con nuove sottoreti per soddisfare questi requisiti. Inoltre, occorre aggiungere temporaneamente una sottorete da un'altra zona di disponibilità se è necessario scambiare tutte le sottoreti nel load balancer. Ad esempio, se il load balancer dispone di una singola zona di disponibilità ed è necessario scambiare le sottoreti con un'altra sottorete, occorre innanzitutto aggiungere una sottorete da una seconda zona di disponibilità. Quindi puoi rimuovere la sottorete dalla zona di disponibilità originale (senza passare sotto una sottorete), aggiungere una nuova sottorete dalla zona di disponibilità originale (senza superare una sottorete per zona di disponibilità) e rimuovere la sottorete dalla seconda zona di disponibilità (se è necessaria solo per eseguire lo scambio). ## Configura le sottoreti utilizzando la console Utilizzare la procedura seguente per aggiungere o rimuovere sottoreti utilizzando la console. **Per configurare le sottoreti utilizzando la console** 1. Apri la console Amazon EC2 all'indirizzo [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. Nel pannello di navigazione, sotto **Bilanciamento del carico**, scegli **Sistemi di bilanciamento del carico**. 1. Scegli il nome del sistema di bilanciamento del carico per aprirne la pagina dei dettagli. 1. Nella scheda **Mappatura di rete**, scegli **Modifica sottoreti**. 1. Nella pagina **Modifica sottoreti**, nella sezione **Mappatura di rete**, aggiungi e rimuovi le sottoreti secondo necessità. 1. Al termine, scegliere **Save changes (Salva le modifiche)**. ## Configurare le sottoreti utilizzando la CLI Utilizza gli esempi seguenti per aggiungere o rimuovere sottoreti utilizzando. AWS CLI **Per aggiungere una sottorete al load balancer mediante la CLI** Utilizza il seguente comando [attach-load-balancer-to-subnets per aggiungere due sottoreti](https://docs.aws.amazon.com/cli/latest/reference/elb/attach-load-balancer-to-subnets.html) al tuo sistema di bilanciamento del carico: ``` aws elb attach-load-balancer-to-subnets --load-balancer-name my-load-balancer --subnets subnet-dea770a9 subnet-fb14f6a2 ``` La risposta elenca tutte le sottoreti per il load balancer. Esempio: ``` { "Subnets": [ "subnet-5c11033e", "subnet-dea770a9", "subnet-fb14f6a2" ] } ``` **Per rimuovere una sottorete utilizzando il AWS CLI** Utilizzate il seguente comando [detach-load-balancer-from-subnets](https://docs.aws.amazon.com/cli/latest/reference/elb/detach-load-balancer-from-subnets.html) per rimuovere le sottoreti specificate dal sistema di bilanciamento del carico specificato: ``` aws elb detach-load-balancer-from-subnets --load-balancer-name my-loadbalancer --subnets subnet-450f5127 ``` La risposta elenca le sottoreti rimanenti per il load balancer. Esempio: ``` { "Subnets": [ "subnet-15aaab61" ] } ``` # Configurazione dei gruppi di sicurezza per Classic Load Balancer Quando si utilizza il Console di gestione AWS per creare un sistema di bilanciamento del carico, è possibile scegliere un gruppo di sicurezza esistente o crearne uno nuovo. Se si sceglie un gruppo di sicurezza esistente, occorre consentire il traffico in entrambe le direzioni al listener e alle porte del controllo dello stato per il load balancer. Se si sceglie di creare un gruppo di sicurezza, la console aggiunge automaticamente le regole per consentire tutto il traffico su queste porte. [VPC non predefinito] Se si utilizza AWS CLI l'API o si crea un sistema di bilanciamento del carico in un VPC non predefinito, ma non si specifica un gruppo di sicurezza, il sistema di bilanciamento del carico viene automaticamente associato al gruppo di sicurezza predefinito per il VPC. [VPC predefinito] Se utilizzi l'API AWS CLI or per creare un sistema di bilanciamento del carico nel tuo VPC predefinito, non puoi scegliere un gruppo di sicurezza esistente per il tuo sistema di bilanciamento del carico. In alternativa, Elastic Load Balancing fornisce un gruppo di sicurezza con regole per consentire tutto il traffico sulle porte specificate per il load balancer. Elastic Load Balancing crea un solo gruppo di sicurezza di questo tipo per AWS account, con un nome nel formato *id* default\$1elb\$1 (ad esempio,). `default_elb_fc5fbed3-0405-3b7d-a328-ea290EXAMPLE` Anche i bilanciatori del carico successivi creati nel VPC predefinito utilizzano questo gruppo di sicurezza. Assicurati di esaminare le regole del gruppo di sicurezza per verificare che consentano il traffico sulle porte del listener e del controllo dello stato per il nuovo load balancer. Quando elimini il load balancer, questo gruppo di sicurezza non viene eliminato automaticamente. Se si aggiunge un listener a un load balancer esistente, occorre esaminare i gruppi di sicurezza per assicurarsi che consentano il traffico sulla nuova porta del listener in entrambe le direzioni. **Topics** + [Regole consigliate per gruppi di sicurezza di bilanciamento del carico](#recommended-sg-rules) + [Assegna gruppi di sicurezza utilizzando la console](#assign-sg-console) + [Assegna i gruppi di sicurezza utilizzando il AWS CLI](#assign-sg-cli) ## Regole consigliate per gruppi di sicurezza di bilanciamento del carico I gruppi di sicurezza per i bilanciatori del carico devono consentirne la comunicazione con le istanze. Le regole consigliate dipendono dal tipo di bilanciamento del carico, connesso a Internet o interno. **Sistema di bilanciamento del carico con connessione a Internet** La tabella seguente mostra le regole in entrata consigliate per un sistema di bilanciamento del carico connesso a Internet. | Crea | Protocollo | Intervallo porte | Comment | | --- | --- | --- | --- | | 0.0.0.0/0 | TCP | *listener* | Consente tutto il traffico in entrata sulla porta del listener del load balancer | La tabella seguente mostra le regole in uscita consigliate per un sistema di bilanciamento del carico connesso a Internet. | Destinazione | Protocollo | Intervallo porte | Comment | | --- | --- | --- | --- | | *instance security group* | TCP | *instance listener* | Consente il traffico in uscita verso le istanze sulla porta del listener dell'istanza | | *instance security group* | TCP | *health check* | Permette il traffico in uscita verso le istanze attraverso la porta di controllo dello stato | **bilanciatori del carico interni** La tabella seguente mostra le regole in entrata consigliate per un sistema di bilanciamento del carico interno. | Crea | Protocollo | Intervallo porte | Comment | | --- | --- | --- | --- | | *VPC CIDR* | TCP | *listener* | Consente il traffico in entrata dal CIDR VPC sulla porta del listener del load balancer. | La tabella seguente mostra le regole in uscita consigliate per un sistema di bilanciamento del carico interno. | Destinazione | Protocollo | Intervallo porte | Comment | | --- | --- | --- | --- | | *instance security group* | TCP | *instance listener* | Consente il traffico in uscita verso le istanze sulla porta del listener dell'istanza | | *instance security group* | TCP | *health check* | Permette il traffico in uscita verso le istanze attraverso la porta di controllo dello stato | ## Assegna gruppi di sicurezza utilizzando la console Usa la seguente procedura per modificare i gruppi di sicurezza associati al tuo sistema di bilanciamento del carico. **Per aggiornare un gruppo di sicurezza assegnato al sistema di bilanciamento del carico utilizzando la console** 1. Apri la console Amazon EC2 all'indirizzo [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. Nel pannello di navigazione, sotto **Bilanciamento del carico**, scegli **Sistemi di bilanciamento del carico**. 1. Scegli il nome del sistema di bilanciamento del carico per aprirne la pagina dei dettagli. 1. Nella scheda **Sicurezza**, scegli **Modifica**. 1. Nella pagina **Modifica gruppi di sicurezza, in Gruppi** **di sicurezza**, aggiungi o rimuovi i gruppi di sicurezza secondo necessità. Puoi aggiungere fino a cinque gruppi di sicurezza. 1. Al termine, scegliere **Save changes (Salva le modifiche)**. ## Assegna i gruppi di sicurezza utilizzando il AWS CLI Utilizzate il seguente comando [apply-security-groups-to-load-balancer](https://docs.aws.amazon.com/cli/latest/reference/elb/apply-security-groups-to-load-balancer.html) per associare un gruppo di sicurezza a un sistema di bilanciamento del carico. I gruppi di sicurezza specificati sovrascrivono i gruppi di sicurezza associati in precedenza. ``` aws elb apply-security-groups-to-load-balancer --load-balancer-name my-loadbalancer --security-groups sg-53fae93f ``` Di seguito è riportata una risposta di esempio: ``` { "SecurityGroups": [ "sg-53fae93f" ] } ``` # Configura ACLs la rete per il tuo Classic Load Balancer La lista di controllo accessi (ACL) di rete predefinita per un VPC permette tutto il traffico in entrata e in uscita. Se si crea una rete personalizzata ACLs, è necessario aggiungere regole che consentano la comunicazione tra il sistema di bilanciamento del carico e le istanze. Le regole consigliate per la sottorete del sistema di bilanciamento del carico dipendono dal tipo di bilanciamento del carico, connesso a Internet o interno. **Sistema di bilanciamento del carico con connessione a Internet** Di seguito sono riportate le regole in entrata consigliate per un sistema di bilanciamento del carico connesso a Internet. | Crea | Protocollo | Intervallo porte | Comment | | --- | --- | --- | --- | | 0.0.0.0/0 | TCP | *listener* | Consente tutto il traffico in entrata sulla porta del listener del load balancer | | *VPC CIDR* | TCP | 1024-65535 | Consente il traffico in entrata dal CIDR VPC sulle porte temporanee | Di seguito sono riportate le regole in uscita consigliate per un sistema di bilanciamento del carico connesso a Internet. | Destinazione | Protocollo | Intervallo porte | Comment | | --- | --- | --- | --- | | *VPC CIDR* | TCP | *instance listener* | Consente tutto il traffico in uscita sulla porta del listener dell'istanza | | *VPC CIDR* | TCP | *health check* | Consente tutto il traffico in uscita sulla porta di controllo dello stato | | 0.0.0.0/0 | TCP | 1024-65535 | Consente tutto il traffico in uscita sulle porte temporanee | **Sistema di bilanciamento del carico interno** Di seguito sono riportate le regole in entrata consigliate per un sistema di bilanciamento del carico interno. | Crea | Protocollo | Intervallo porte | Comment | | --- | --- | --- | --- | | *VPC CIDR* | TCP | *listener* | Consente il traffico in entrata dal CIDR VPC sulla porta del listener del load balancer. | | *VPC CIDR* | TCP | 1024-65535 | Consente il traffico in entrata dal CIDR VPC sulle porte temporanee | Di seguito sono riportate le regole in uscita consigliate per un sistema di bilanciamento del carico interno. | Destinazione | Protocollo | Intervallo porte | Comment | | --- | --- | --- | --- | | *VPC CIDR* | TCP | *instance listener* | Consente il traffico in uscita verso il CIDR VPC sulla porta del listener dell'istanza | | *VPC CIDR* | TCP | *health check* | Consente il traffico in uscita verso il CIDR VPC sulla porta di controllo dello stato | | *VPC CIDR* | TCP | 1024-65535 | Consente il traffico in uscita verso il CIDR VPC sulle porte temporanee | # Configura un nome di dominio personalizzato per il Classic Load Balancer Ogni Classic Load Balancer riceve un DNS (Domain Name System) predefinito. Questo nome DNS include il nome della AWS regione in cui viene creato il load balancer. Ad esempio, se si crea un bilanciamento del carico denominato `my-loadbalancer` nella regione Stati Uniti occidentali (Oregon), il bilanciamento del carico riceve un DNS del tipo `my-loadbalancer-1234567890.us-west-2.elb.amazonaws.com`. Per accedere al sito Web sulle istanze, incolla questo nome DNS nel campo dell'indirizzo di un browser Web. Tuttavia per i tuoi clienti questo nome DNS non è facile da ricordare e da utilizzare. Se non preferisci usare un nome DNS semplice per il tuo load balancer, ad esempio `www.example.com`, anziché il nome DNS predefinito, puoi creare un nome di dominio personalizzato e associarlo al nome DNS per il tuo load balancer. Quando un client invia una richiesta utilizzando questo nome di dominio personalizzato, il server DNS lo risolve nel nome DNS per il tuo load balancer. **Topics** + [Associazione del nome di dominio personalizzato al nome del bilanciamento del carico](#dns-associate-custom-elb) + [Utilizzo del failover DNS Route 53 per il sistema di bilanciamento del carico](#configure-dns-failover) + [Disassociazione del nome di dominio personalizzato dal bilanciamento del carico](#dns-disassociate-custom-elb) ## Associazione del nome di dominio personalizzato al nome del bilanciamento del carico Per prima cosa, se non lo hai ancora fatto, registra il tuo nome dominio. La Internet Corporation for Assigned Names and Numbers (ICANN) gestisce i nomi di dominio su Internet. Puoi registrare un nome di dominio utilizzando un *registrar nome dominio*, un'organizzazione accreditata ICANN che gestisce il registro dei nomi di dominio. Il sito Web per il tuo registrar fornirà istruzioni dettagliate e informazioni sui prezzi per la registrazione del tuo nome dominio. Per maggiori informazioni, consulta le seguenti risorse: + Per utilizzare Amazon Route 53 per registrare un nome di dominio, consulta [Registrazione dei nomi di dominio utilizzando Route 53](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/registrar.html) nella *Guida per gli sviluppatori di Amazon Route 53*. + Per un elenco dei registrar accreditati, consulta l'[Elenco dei](https://www.icann.org/en/accredited-registrars) registrar accreditati. Successivamente, utilizza il servizio DNS, come il tuo registrar di dominio, per creare un record CNAME per instradare le query verso il load balancer. Per ulteriori informazioni, consulta la documentazione per il servizio DNS. In alternativa, puoi utilizzare Route 53 come servizio DNS. Puoi creare una *zona ospitata*, che contiene informazioni su come eseguire il routing del traffico su Internet per il tuo dominio, e un *set di record della risorsa alias*, che esegue il routing delle query per il nome di dominio al bilanciamento del carico. Route 53 non addebita le query DNS per set di registri alias ed è possibile utilizzare tali set per instradare le query DNS al load balancer per l'apex di zona del dominio (ad esempio, `example.com`). Per informazioni su come trasferire i servizi DNS per i domini esistenti a Route 53, consulta [Configurazione di Route 53 come servizio DNS](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/dns-configuring.html) nella *Guida per gli sviluppatori di Amazon Route 53*. Infine, crea una zona ospitata e un set di record di alias per il tuo dominio utilizzando Route 53. Per ulteriori informazioni, consulta [Routing traffic to a load balancer (Routing del traffico a un load balancer)](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/routing-to-elb-load-balancer.html) nella *Guida per gli sviluppatori di Amazon Route 53*. ## Utilizzo del failover DNS Route 53 per il sistema di bilanciamento del carico Se utilizzi Route 53 per il routing delle query DNS al bilanciamento del carico, puoi anche configurare il failover DNS per il load balancer utilizzando Route 53. In una configurazione di failover, Route 53 controlla l'integrità delle istanze EC2 registrate per il bilanciamento del carico per determinare se siano disponibili. Se non sono disponibili istanze registrate EC2 con il bilanciamento del carico, o se il load balancer stesso non è integro, Route 53 esegue il routing del traffico a un'altra risorsa disponibile, come un load balancer integro o un sito web statico in Amazon S3. Ad esempio, supponiamo che tu disponga di un'applicazione web per `www.example.com` e che desideri istanze ridondanti in esecuzione dietro due bilanciatori del carico che risiedono in regioni diverse. Desideri che il routing del traffico avvenga principalmente verso il load balancer in una regione e vuoi utilizzare il bilanciamento del carico nell'altra regione come backup durante i guasti. Se configuri un failover di DNS, puoi specificare i bilanciatori del carico principale e secondario (backup). Route 53 indirizza il traffico verso il bilanciamento del carico principale, se è disponibile, in caso contrario, al load balancer secondario. **Utilizzo della valutazione dello stato di destinazione** + Quando la valutazione dello stato di destinazione è impostata su `Yes` su un record alias di un Classic Load Balancer, Route 53 valuta lo stato della risorsa specificata dal valore `alias target`. Per un sistema Classic Load Balancer, Route 53 utilizza i controlli dell'integrità delle istanze associati al sistema di bilanciamento del carico. + Quando almeno una delle istanze registrate in un Classic Load Balancer è integra, Route 53 contrassegna il record alias integro. Route 53 restituisce quindi i record in base alla policy di routing. Se viene utilizzata la policy di routing di failover, Route 53 restituisce il record principale. + Quando tutte le istanze registrate per un Classic Load Balancer non sono integre, Route 53 contrassegna il record alias come non integro. Route 53 restituisce quindi i record in base alla policy di routing. Se viene utilizzata la policy di routing di failover, Route 53 restituisce il record secondario. Per ulteriori informazioni, consulta [Configurazione di un failover DNS](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/dns-failover-configuring.html) nella *Guida per gli sviluppatori di Amazon Route 53*. ## Disassociazione del nome di dominio personalizzato dal bilanciamento del carico Puoi annullare l'associazione del tuo nome di dominio personalizzato da un load balancer eliminando prima i set di record di risorse nella tua zona ospitata, quindi eliminando la zona ospitata. Per ulteriori informazioni, consulta [Modifica di record](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/resource-record-sets-editing.html) e [Eliminazione di una zona ospitata pubblica](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/DeleteHostedZone.html) nella *Guida per gli sviluppatori di Amazon Route 53*.