如何限制仅从 NLB 对 EC2 的访问

Question

问题

有没有办法确保访问仅来自特定的 NLB？在目前NLB的限制下，不知道有没有办法。

局限性

• AWS Network Load Balancer (NLB) 没有安全组 (SG)，因此无法使用 SG 来验证源是否为 NLB。

• NLB（实例 ID 目标）保留外部客户端的源 IP 地址，因此无法使用源 IP 来验证源是否为 NLB。

参考

• 网络负载均衡器没有安全组
• 源IP保护

  如果您使用实例 ID 指定目标，则会保留客户端的源 IP 地址并将其提供给您的应用程序。

Answer 1

如AWS NLB 文档 - 目标安全组中所示，如果目标类型是实例，则无法识别 NLB 并确保访问仅来自 NLB。需要使用访问NLB的客户端IP地址。

限制
网络负载均衡器没有关联的安全组。因此，目标的安全组必须使用 IP 地址以允许来自负载均衡器的流量。

您无法使用目标安全组中的客户端安全组允许通过负载均衡器从客户端到目标的流量。请改用目标安全组中的客户端 CIDR 块。