AWS 負載均衡器到 EC2 實例防火牆規則

Question

我有一個位於兩個可用區的 AWS EC2 負載均衡器。 我正在使用負載平衡器在 ec2 實例上前置 apache 服務器，並且我正在使用 Cognito 對應用程序進行身份驗證。

目前，我已經確定了負載均衡器網絡接口的私有 IP 地址，並在后端 ec2 實例上創建了防火牆規則，以僅允許來自負載均衡器私有 IP 地址的流量。 但是，這些私有 IP 地址在不斷變化。

在我的后端 ec2 實例上設置防火牆規則以僅允許基本上由負載均衡器代理然后由 Cognito 進行身份驗證的 HTTP 請求的最佳實踐是什么？

Answer 1

我不太清楚防火牆是否理解安全組，因為在 AWS 中安全組被認為是有狀態的防火牆。

您不希望直接引用負載均衡器的 IP 地址（我假設您使用的是應用程序負載均衡器），因為這可能會發生變化。 解決方案是將一個安全組分配給負載均衡器，並將另一個安全組分配給運行應用程序的 EC2 實例。 EC2 實例的安全組可以允許來自連接到負載均衡器的安全組的端口 80 上的流量。

由於您使用的是 Cognito，身份驗證應該在負載均衡器之前進行，如文檔中所述。 本質上，您的客戶從 Cognito 請求一個令牌，該令牌可用於在您的應用程序中對其進行身份驗證。 您可以使用 NAT 或接口端點允許從您的 VPC/EC2 實例到 Cognito 的傳出流量。