在私有VPC中使用EC2实例配置内部网络负载均衡器

Question

我创建了一个内部网络负载平衡器（NLB），以连接到专用子网上的EC2实例。 我只想限制从网络负载平衡器对EC2实例的访问。 我使用了以下说明https://docs.aws.amazon.com/elasticloadbalancing/latest/network/target-group-register-targets.html#target-security-groups，但它不起作用。

基本上，我将NLB网络接口的IP地址添加到了安全组，并且允许使用我的特定端口（例如：8080 10.4.2.9/32），但这是行不通的。 当我切换到所有允许（例如：8080 0.0.0.0/32）时，它起作用了，但是我不希望其他实例能够访问ec2实例。

有什么想法为什么不起作用？ 谢谢

Answer 1

对于您要完成的工作，NLB是错误的负载平衡器。

NLB是第4层负载平衡器。 这意味着您看到的IP地址（在EC2实例上）是客户端的IP地址，而不是负载均衡器的IP地址。 使用NLB，您必须在安全组中允许客户端的IP地址。

您希望第7层负载均衡器实现您要执行的操作（阻止VPC中的其他系统直接访问EC2实例）。 这意味着ALB或经典ELB。

Answer 2

如果您使用的是网络负载平衡器，请更新目标实例的安全组 ，因为网络负载平衡器没有关联的安全组。

• 如果您的目标类型是IP，则将规则添加到安全组中，以允许从负载均衡器到目标IP的流量。

• 如果您的目标类型是实例，则将规则添加到安全组，以允许从负载均衡器和客户端到目标IP的流量。

• 您可以在EC2实例安全组中允许流量。 由于您的实例位于专用子网中，因此您需要在同一区域但在公共子网中午餐负载均衡器。

首先了解您的用例。

网络负载平衡器的最佳用例：

• 需要无缝支持尖峰或大量入站TCP请求时。
• 当您需要支持静态或弹性IP地址时。
• 如果您正在使用容器服务和/或要支持EC2实例上的多个端口。 NLB特别适合ECS（Amazon EC2容器服务）。

安全组负载均衡器

新网络负载均衡器毫不费力地扩展到每秒数百万的请求

什么是网络负载均衡器