可以将 ip 列入白名单以与 aws 负载均衡器后面的 ec2 实例进行入站通信吗？

Question

我有一个 ec2 实例 运行 aws 中弹性负载均衡器后面的一个网站。主要是因为我想使用 Amazon 新的免费 ssl for https。

我的挑战是，我需要在安全组中将我的 IP 地址列入白名单，以便我是唯一可以看到该网站的人（并且我可以根据需要有选择地添加人员）。

我已经在没有负载平衡器的情况下成功地将我的 IP 地址列入白名单。我的挑战是将我的 IP 地址与我的 IP 地址和我的 ec2 实例之间的负载均衡器代理列入白名单。

我的 ec2 实例似乎不会在负载均衡器中注册，因为我的 ec2 的安全组不允许来自除我自己以外的任何 IP 地址的传入流量。

我正在寻找一种方法让我的负载均衡器能够对我的 ec2 进行健康检查，但只允许特定的白名单 ip 实际访问该网站。

Answer 1

如果您使用的是 VPC（您确实应该使用），那么您将有一个安全组附加到负载均衡器。这就是您将 IP 地址列入白名单的地方。 EC2服务器只需要将负载均衡器的安全组列入白名单。

你可以这样想象它：

您的 IP -> 安全组 1 -> 负载均衡器 -> 安全组 2 -> EC2 实例

安全组 1 验证 IP 地址在白名单中，并允许流量通过负载均衡器。负载平衡器将流量发送到池中的一个实例。安全组 2 验证流量来自属于已列入白名单的安全组 1（负载均衡器）的东西，并允许它传递到 EC2 实例。

Answer 2

我能够解决这个问题，方法是更改​​ EC2 的安全组以允许端口 80 上来自分配给我的负载均衡器的安全组的传入 http 连接。

然后我的负载均衡器本身允许来自任何地方的端口 80 上的传入 HTTP 流量。

所以我想这里的技巧是，您可以允许来自 IP 或安全组的传入连接。