AWS 应用程序负载均衡器：安全组设置与侦听器设置

Question

当我们在 AWS 中定义应用程序负载均衡器时，我们首先为其附加一个安全组，它本身指定协议、端口等内容。然后我们还定义一个侦听器组，我们再次指定协议、端口等。

那么它们在整体画面中的意义和作用有何不同？

Answer 1

Amazon VPC 中的所有资源都可以有安全组。 它们是“防火墙”，可以过滤进出每个资源的流量。

安全组也可以相互引用，例如一个常见的配置是：

• 负载均衡器 ( LB-SG ) 上的安全组允许入站 web 流量
• EC2 实例 ( App-SG ) 上的安全组，将从负载均衡器发送流量，允许来自LB-SG入站流量

也就是说， App-SG特别允许来自与LB-SG关联的任何资源的流量。 不允许 VPC 中的其他资源向 EC2 实例发送流量，除非提供了允许此类流量的附加规则。

所以，这样想：

• 安全组控制 VPC 内流量的安全性
• 负载均衡器上的侦听器和目标控制负载均衡器如何分配流量

它们是架构堆栈“不同级别”的配置。

来自应用程序负载均衡器的侦听器 - Elastic Load Balancing ：

侦听器是使用您配置的协议和端口检查连接请求的进程。 您为侦听器定义的规则决定了负载平衡器如何将请求路由到其注册的目标。

来自应用程序负载均衡器的目标组 - Elastic Load Balancing ：

每个目标组用于将请求路由到一个或多个注册目标。 创建每个侦听器规则时，您指定一个目标组和条件。 当满足规则条件时，流量将转发到相应的目标组。 您可以为不同类型的请求创建不同的目标组。 例如，为一般请求创建一个目标组，为应用程序的微服务请求创建其他目标组。