如何 ping/traceroute 一个 AWS ELB

Question

亚马逊的负载均衡器具有燕子ICMP数据包两种网络的安全策略ping和traceroute。它被列为安全组amazon-elb/amazon-elb-sg。我个人认为这些工具在诊断问题方面非常有用，因此我希望能够在我的服务中使用它们。我宁愿负载平衡器响应这些请求或转发它们。

有没有办法更改 ELB 上的安全组设置？或者任何其他方式来验证与 ELB 的 IP 连接？

更新

需要明确的是，我在 AWS 控制台中看不到在新创建的 ELB 上设置 SG 或更改现有 ELB 上的 SG 的方法。

Answer 1

是的，这适用于 Classic Load Balancer 和 Application Load Balancer。进入您的安全组设置并允许分配给您的 ELB 的 ICMP 流量传入。无论是分配给 ELB 还是 EC2 实例，安全组的工作方式都相同。

我刚刚测试并确认：

[jjbegin@bane ~]$ ping elb01-2026631704.us-east-1.elb.amazonaws.com 
PING elb01-2026631704.us-east-1.elb.amazonaws.com (107.23.23.138) 56(84) bytes of data.
64 bytes from ec2-107-23-23-138.compute-1.amazonaws.com (107.23.23.138): icmp_seq=1 ttl=51 time=36.2 ms
64 bytes from ec2-107-23-23-138.compute-1.amazonaws.com (107.23.23.138): icmp_seq=2 ttl=51 time=35.9 ms
^C
--- elb01-2026631704.us-east-1.elb.amazonaws.com ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1473ms
rtt min/avg/max/mdev = 35.985/36.121/36.258/0.233 ms
[jjbegin@bane ~]$ 

注意：这不适用于网络负载均衡器 (NLB)。它们没有安全组，除类型 3（目标不可达）外的所有 ICMP 数据包都被视为“意外流量”，不会转发到任何目标。来源

Answer 2

这在 VPC 中是可能的，但在库存 EC2 中是不可能的。