¿Cómo puedo resolver los errores «untrusted certificate» o los errores de carga de certificados SSL/TLS en mi equilibrador de carga clásico?

Descripción corta

Si utilizas un agente de escucha HTTPS/SSL en un equilibrador de carga clásico, debes instalar un certificado SSL/TLS. El equilibrador de carga usa el certificado para terminar las conexiones SSL/TLS de clientes. Si tienes problemas para cargar el certificado, resuelve el error de carga del certificado.

Si la conexión se completa, pero el certificado no es de confianza, el navegador o el cliente muestran uno de los siguientes mensajes de error «untrusted certificate»:

• «The security certificate presented by this website was not issued by a trusted certificate authority».
• «example.com uses an invalid security certificate. The certificate is not trusted because the issuer certificate is unknown».
• «example.com uses an invalid security certificate. The certificate is not trusted because it is self signed».

Para resolver este problema, resuelve el error «untrusted certificate».

Resolución

Resolución de errores de carga de certificados

Comprobación de la configuración

Asegúrate de cumplir los requisitos previos para importar certificados. Además, confirma que el certificado no contenga espacios en blanco adicionales, que comience por -----BEGIN CERTIFICATE----- y que termine por -----END CERTIFICATE-----.

Si sigues teniendo problemas, lleva a cabo las siguientes acciones de resolución de problemas según el error que recibas.

Resolución de «The public key certificate isn't valid»

Si el certificado de clave pública no tiene el formato PEM X.509, es posible que no se cargue. Para resolver este problema, convierte el certificado al formato PEM X.509. Para ver ejemplos de formatos de certificados válidos, consulta Solución de problemas de certificados de servidor.

Resolución de problemas en los que el certificado se carga, pero la cadena se rechaza

Este problema se produce si la cadena contiene el certificado de clave pública o si los certificados están en un orden incorrecto.

La cadena debe contener solo los certificados intermedios que conducen a la raíz, en orden. La cadena debe comenzar con el certificado que generó la autoridad de certificación (CA) y terminar con la raíz de la CA. No incluyas tu certificado de clave pública ni los intermedios que no formen parte de la ruta de confianza. Por lo general, las CA proporcionan los certificados intermedios y raíz como un paquete ordenado correctamente que puedes usar.

Resolución de «The private key isn't valid»

Este problema se produce si el certificado de clave privada utiliza un formato incorrecto o está cifrado. Para resolver este problema, asegúrate de que el certificado de clave privada utilice el formato correcto. Además, elimina las frases de contraseña para que la clave no esté cifrada.

Resolución de certificados que no se despliegan en la consola de ACM

Si usas una clave de curva elíptica (EC) o RSA de 4096 bits para el equilibrador de carga clásico, no podrás usar el certificado en la consola de AWS Certificate Manager (ACM). En su lugar, carga el certificado en AWS Identity and Access Management (IAM). A continuación, elige From IAM (De IAM) en Default SSL cert (Certificado SSL predeterminado) al configurar el agente de escucha del equilibrador de carga.

Resolución de certificados de ACM que no aparecen en la consola de ACM

Si no puedes encontrar tu certificado de ACM en la consola de ACM, es posible que esté en una región de AWS diferente a la del equilibrador de carga. Para resolver este problema, asegúrate de que el certificado y el equilibrador de carga estén en la misma región. También puedes solicitar un certificado nuevo en la región del equilibrador de carga.

Resolución del error «untrusted certificate»

Si el cliente no puede crear una ruta de confianza completa a la CA raíz, recibirás el error «untrusted certificate». Por lo general, este problema se produce porque falta un certificado intermedio en la cadena o porque se utiliza un certificado autofirmado.

Para resolver este problema, sigue estos pasos.

Comprobación de si falta la cadena de certificados intermedios

Ejecuta el siguiente comando:

openssl s_client -showcerts -connect www.example.com:443

Nota: Sustituye example por tu dominio.

En la salida del comando, comprueba Verify return code. Si el código es 0, la cadena está completa y el certificado es válido. En este escenario, el problema se debe a un certificado autofirmado o al almacén de confianza de un cliente. Para resolver este problema, continúa con Resolución de certificados autofirmados.

Si el código es 21, falta la cadena de intermedios. Para resolver este problema, vuelve a cargar el certificado con la cadena completa. La cadena debe contener solo los certificados intermedios que conducen a la raíz, en orden. La cadena debe comenzar con el certificado que generó la CA y terminar con la raíz de la CA. No incluyas tu certificado de clave pública ni incluyas intermedios que no formen parte de la ruta de confianza. Por lo general, las CA proporcionan los certificados intermedios y raíz como un paquete ordenado correctamente que puedes usar.

Carga o sustitución del certificado

Carga un nuevo certificado SSL/TLS para el equilibrador de carga. Se recomienda usar ACM para importar el certificado SSL/TLS. Sin embargo, también puedes usar IAM para cargar el certificado.

Luego, usa el nuevo certificado para configurar un agente de escucha HTTPS para el equilibrador de carga.

Nota: Asegúrate de reemplazar el certificado antes de que finalice su periodo de validez.

Resolución de certificados autofirmados

De forma predeterminada, los clientes rechazan los certificados autofirmados porque no los emite una CA de confianza. Si utilizas un certificado autofirmado, es posible que recibas los mensajes de error «self signed» o «issuer certificate is unknown». Para solucionar este problema en los entornos de producción, utiliza un certificado emitido por una CA pública. Solicita un certificado público en ACM o importa un certificado emitido por una CA. Para los entornos de prueba en los que debes usar un certificado autofirmado, puedes añadir el certificado al almacén de confianza de cada cliente.

Resolución de varios dominios en un equilibrador de carga

Los equilibradores de carga clásicos solo pueden presentar un certificado para cada agente de escucha. No puedes usar la indicación de nombre de servidor (SNI) en los equilibradores de carga clásicos. Si alojas varios dominios, es posible que el equilibrador de carga devuelva un certificado que no coincida con el host solicitado. Como resultado, los clientes indican que el certificado no es de confianza o no es válido.

Para resolver este problema, toma una de las siguientes medidas.

Usa un nombre alternativo del sujeto (SAN) para añadir varios dominios a un solo certificado. Consulta a tu CA para conocer la cantidad máxima de SAN.

Configura el equilibrador de carga con un agente de escucha de TCP en el puerto 443. Esta configuración transfiere la conexión a la instancia de Amazon Elastic Compute Cloud (Amazon EC2) de backend sin terminación. Como resultado, administras el tráfico HTTPS directamente en la instancia.

Migra a un equilibrador de carga de aplicación. Se recomienda utilizar equilibradores de carga de aplicación para HTTPS, ya que puedes usar varios certificados para un único agente de escucha HTTPS. Los equilibradores de carga de aplicación entregan automáticamente el certificado correcto para cada dominio.

Confirmación de que el certificado funcione según lo previsto

Vuelve a ejecutar el siguiente comando para confirmar que la salida de Verify return code ahora sea 0:

openssl s_client -showcerts -connect www.example.com:443

Nota: Sustituye example por tu dominio.

A continuación, carga un sitio en una nueva sesión del navegador para confirmar que el mensaje de error haya desaparecido.

Información relacionada

Importar certificados a ACM

Certificados SSL/TLS para equilibradores de carga clásicos