在负载均衡器后面隐藏 EC2 实例

Question

在AWS 中，我有一个EC2实例，它当前允许端口 80 上的传入流量。我在此实例上托管一个 API，因此目前我可以在 EC2 实例的公共 IP 上使用 Postman 访问 API 端点。到现在为止还挺好。

接下来，我使用 SSL 证书和子域（称为 api.whatever.com）设置了一个面向 Internet 的应用程序负载平衡器。负载均衡器的安全组阻止端口 80 流量，但允许端口 443 (HTTPS) 流量。并且负载均衡器被配置为通过端口 80 将请求转发到 EC2 实例。

所以，我可以点击我的 API 并通过负载均衡器获得响应，例如https://api.whatever.com/something.php。虽然http://api.whatever.com/something.php无法访问，因为端口 80 被阻止。这就是我要的。

但是，现在我想要做的是阻止 EC2 实例响应来自负载均衡器以外的任何地方的 HTTP 请求。但当然，如果我从 EC2 安全组中删除端口 80，负载均衡器将无法再联系它，因为它使用端口 80。我正在寻找负载均衡器的 IP 地址，以便我可以将该 IP 列入安全组的白名单端口 80，但我找不到这样的东西。

如何排除端口 80 对我的 EC2 实例的访问权限，但负载均衡器除外？

Answer 1

取消实例对 80 端口的全局访问，只允许来自 ELB安全组的流量。

这可以通过控制台完成：

或通过 CLI：

aws ec2 authorize-security-group-ingress
  --group-name MyEC2Group
  --protocol tcp
  --port 80
  --source-group MyELBGroup