修復了 AWS 應用程序負載均衡器后面的服務的 IP 地址

Question

我們公司剛搬到新辦公室，因此也獲得了新的網絡設備。 事實證明，我們的新防火牆不允許通過 VPN 推送路由，它首先必須查找 ip 地址。

眾所周知，亞馬遜 AWS 不允許其應用負載均衡器使用 static ip 地址。

所以我們的想法是簡單地在應用程序負載均衡器前面放置一個網絡負載均衡器（aws 本身描述了一種非常 hacky 的方式（ https://aws.amazon.com/blogs/networking-and-content-delivery/ using-static-ip-addresses-for-application-load-balancers/ ）似乎工作正常（即使我不太喜歡使用 lambda 腳本注冊和注銷目標的方法）

所以這是我們的問題：事實證明，應用程序負載均衡器只能看到網絡負載均衡器 ip 地址。 這阻止了我們將安全組用於 ip 白名單，我們非常重視。 除此之外，我們的一些應用程序（基於 Nginx/PHP）還進行 ip 地址驗證和用於將客戶端 ip 地址作為 x-forwarded-for Z099FB995346F31C749F6E40EDB303 傳遞的 alb。 現在我們的應用程序只能看到來自 nlb 的那個。

我們知道使用全球加速器的可能性，但這是一項巨大的投資，因為我們並不真正需要 GA 試圖解決的問題。

那么你們是如何解決這個問題的呢？

感謝您的幫助:)

問候

Answer 1

您可以獲得 ALB 所在區域的 AWS IP 地址列表，並在防火牆中允許它們。 他們確實發布了列表，您可以通過它過濾https://docs.aws.amazon.com/general/latest/gr/aws-ip-ranges.html

我自己沒有這樣做，我不確定 ALB 的地址是否包含在您的 EC2 類別下，是否會“確保安全”整個亞馬遜服務。

Answer 2

你能擴展一下嗎？ “我們知道使用全球加速器的可能性，但這是一項巨額投資，因為我們並不真正需要 GA 試圖解決的問題。” GA 應該為您提供更好、更一致的性能，尤其是當您的辦公室遠離運行 ALB 的 AWS 區域時