возможно для белого списка ip для входящей связи в экземпляр ec2 за балансировщиком aws?

Question

У меня есть один экземпляр ec2, работающий на веб-сайте за эластичным балансиром нагрузки в aws. Главным образом потому, что я хочу использовать новый и бесплатный ssl для Amazon для https.

мой вызов, мне нужно, чтобы белый список моего IP-адреса в группах безопасности, чтобы я был единственным человеком, который может видеть этот сайт (и я могу выборочно добавлять людей по мере необходимости).

Я успешно удалил свой IP-адрес без балансировки нагрузки. моя проблема заключается в белом перечислении моего IP-адреса с прокси-сервером балансировки нагрузки между моим IP-адресом и моим экземпляром ec2.

похоже, что мой экземпляр ec2 не будет регистрироваться в балансировщике нагрузки, поскольку группа безопасности для моего ec2 не позволяет входящему трафику с любого IP-адреса, кроме моего собственного.

Я ищу способ, чтобы мой балансировщик нагрузки мог проверить работоспособность моего ec2, но только разрешить конкретные белые списки на самом деле видеть сайт.

Answer 1

Если вы используете VPC (которым вы действительно должны быть), у вас будет группа безопасности, прикрепленная к балансировщику нагрузки. Здесь вы будете переадресовывать IP-адреса. Сервер EC2 просто должен белить список безопасности группы балансировки нагрузки.

Вы можете представить себе это так:

Ваш IP -> Группа безопасности 1 -> Load Balancer -> Группа безопасности 2 -> EC2 Instance (s)

Группа безопасности 1 проверяет IP-адрес в белом списке, и позволяет трафик до балансировки нагрузки. Балансировщик нагрузки отправляет трафик по одному из экземпляров в пуле. Группа безопасности 2 проверяет, что трафик поступает от того, что принадлежит группе безопасности 1 (балансировщик нагрузки), которая была включена в белый список, и позволяет ей проходить через экземпляр EC2.

Answer 2

Я смог решить проблему, изменив группу безопасности EC2, чтобы разрешить входящие HTTP-соединения на порту 80 из группы безопасности, назначенной моему балансировщику нагрузки.

, а затем мой балансировщик нагрузки позволяет принимать входящий HTTP-трафик на порт 80 из любого места.

, так что я думаю, что трюк здесь, вы можете разрешать входящие соединения от IP или группы безопасности.