AWS：安全组，允许从私有实例访问面向Internet的负载均衡器

Question

我的问题是this的扩展版本。

在我的情况下，安全组必须限制对Load Balancer 1的访问。它必须有一些列入白名单的IP。那么，我可以在这里放哪些IP，允许从Auto Scaling Group 2私有实例访问Load Balancer 1？

我已经尝试将NAT网关的弹性IP作为白名单IP并且它可以工作。我想了解为什么绝对有必要将此IP放入安全组，以便从相同VPC 的私有子网实例访问面向Internet的ALB。

Answer 1

  

我尝试将NAT网关的弹性IP作为白名单IP   它的工作原理。我想明白为什么绝对必要   将此IP放入安全组以访问面向Internet的ALB   同一个VPC的私有子网实例。

因为私有子网中的实例查找公共负载均衡器的DNS，将其解析为其公共Internet IP，然后尝试连接到通过NAT网关路由的IP。

据我所知，没有办法让公共Elastic Load Balancer也可以解析为VPC内的私有IP。因此，您必须通过NAT网关从私有IP内部访问公共负载均衡器。

另一种设置是创建第三个负载均衡器，它是私有的，也指向Auto-Scale Group＃1中的实例，并让您的私有子网实例与该负载均衡器进行通信。

如果使用第三种负载均衡器方法，则可以创建新的目标组，将该组分配给现有的自动扩展组，并将新的负载均衡器指向新的目标组。关键点是目标组只能由一个应用程序负载均衡器使用，但实例可以属于多个目标组，自动扩展组可以有多个目标组。