修复了 AWS 应用程序负载均衡器后面的服务的 IP 地址

Question

我们公司刚搬到新办公室，因此也获得了新的网络设备。 事实证明，我们的新防火墙不允许通过 VPN 推送路由，它首先必须查找 ip 地址。

众所周知，亚马逊 AWS 不允许其应用负载均衡器使用 static ip 地址。

所以我们的想法是简单地在应用程序负载均衡器前面放置一个网络负载均衡器（aws 本身描述了一种非常 hacky 的方式（ https://aws.amazon.com/blogs/networking-and-content-delivery/ using-static-ip-addresses-for-application-load-balancers/ ）似乎工作正常（即使我不太喜欢使用 lambda 脚本注册和注销目标的方法）

所以这是我们的问题：事实证明，应用程序负载均衡器只能看到网络负载均衡器 ip 地址。 这阻止了我们将安全组用于 ip 白名单，我们非常重视。 除此之外，我们的一些应用程序（基于 Nginx/PHP）还进行 ip 地址验证和用于将客户端 ip 地址作为 x-forwarded-for Z099FB995346F31C749F6E40EDB303 传递的 alb。 现在我们的应用程序只能看到来自 nlb 的那个。

我们知道使用全球加速器的可能性，但这是一项巨大的投资，因为我们并不真正需要 GA 试图解决的问题。

那么你们是如何解决这个问题的呢？

感谢您的帮助:)

问候

Answer 1

您可以获得 ALB 所在区域的 AWS IP 地址列表，并在防火墙中允许它们。 他们确实发布了列表，您可以通过它过滤https://docs.aws.amazon.com/general/latest/gr/aws-ip-ranges.html

我自己没有这样做，我不确定 ALB 的地址是否包含在您的 EC2 类别下，是否会“确保安全”整个亚马逊服务。

Answer 2

你能扩展一下吗？ “我们知道使用全球加速器的可能性，但这是一项巨额投资，因为我们并不真正需要 GA 试图解决的问题。” GA 应该为您提供更好、更一致的性能，尤其是当您的办公室远离运行 ALB 的 AWS 区域时