如何只允许少数 IP 访问 AWS 网络负载均衡器？

Question

我正在使用 AWS Fargate 运行我的任务（在公共 su.net 中），面向 Inte.net 的 NLB 通过目标组将流量分配给所有可用任务。 我在服务中添加了一个安全组，它只允许 NLB 的 IP。我们计划使用 cloudflare 作为所有进入该 NLB 的流量的反向代理。 如何将 cloudflare IP 列入白名单，以便其他人无法访问此 NLB？

如果您使用的是网络负载均衡器，请更新目标实例的安全组，因为网络负载均衡器没有关联的安全组。

• 如果您的目标类型是 IP，请将规则添加到您的安全组以允许从负载均衡器的 IP 地址到目标 IP 地址的流量。

• 如果您的目标类型是一个实例，请向您的安全组添加一条规则，以允许从负载均衡器的 IP 地址和客户端到目标 IP 地址的流量。

我认为不可能将安全组添加到 NLB。 参考： https://aws.amazon.com/premiumsupport/knowledge-center/security-group-load-balancer/

如果我将 cloudflare IP 添加到服务的安全组，那么它不会阻止负载均衡器建立连接，还是将实际客户端的 IP 转发到这里？

Answer 1

您需要在网络负载均衡器的目标组中启用客户端 IP 保留。 然后在您的目标（您的 ECS 服务、EC2 实例等）的安全组中，您将允许那些特定的 IP。