AWS ELBでのTLSバージョンアップ時の瞬断

Question

■背景

AWSにてELB Classicを用いてロードバランシングしております。
現在、ELBに設定されている暗号化方式はTLS1.0、TLS1.1、TLS1.2となっております。
これをTLS1.2のみへと変更(TLS1.0、TLS1.1の廃止)する為にELBに設定されているセキュリティポリシーを変更したいと思います。

■質問

セキュリティポリシーを変更する瞬間、通信は瞬断されるでしょうか。
TLS1.0、TLS1.1を使用している通信は通信が行えなくなるかと思いますが、TLS1.2で接続する通信はどうなるのでしょうか。
再ネゴシエーションされ問題ないのでしょうか。

以上です。
宜しくお願い致します。

Answer 1

AWSのドキュメント及びAWSへの質問は別途するとして、

瞬断を完全に回避したいのであれば、新しいセキュリティポリシーでELBを作成し、Route 53にてELBを切り替える事で、DNSの浸透したクライアントからは接続が新しいポリシーに順次切り替わります。DNSが完全に切り替わり、古いELBにトラフィックが発生しないことを確認後に古いELBを削除します。

瞬断が許容できない場合の安全策です。

Comments

[退会済みユーザー]

これ、うまくやらないと、行きと帰りで別の ELB 通ったりしませんか？
＊ドキュメント確認せず、直感でコメントしてます。違ってたらすみません＾＾；

[toushimi]

ELBは言ってしまえばリバースプロキシなので、アクセス元のELBを通って帰っていきます。これは一番安全な方法ですね。

[退会済みユーザー]

戻りも大丈夫なのですね。失礼しました！

[moonphase]

ELBへ接続するクライアントがDNS正引きを行い、接続してトラフィックを終了後に切断します。
そのため、行きと帰りで経路が異なることはありません。

[退会済みユーザー]

理解しました。

[tt0802]

おそくなました。
代替案についてご教示頂きありがとうございました。
大変助かりました。

Answer 2

AWSのドキュメントを読む限りは切れないらしいです。新しい接続に関して影響を与えるようです。

TLS1.0、TLS1.1を使用している通信は通信が行えなくなるかと思います

に関してはこの文から判断すると「新規の接続に関して」通信が行えなくなる、が正しいように思います。

しかし、瞬断を警戒して設定変更ができないようなシステムであれば、なんであれAWSサポートを利用して公式の回答を得るほうが安心安全で確実ではないでしょうか。

Comments

[tt0802]

遅くなりました。
AWSサポートに問い合わせたところ、通信断は発生しないとのことでした。
ご確認頂きありがとうございました。大変助かりました。