amazon-web-services - aws 应用程序负载均衡器后面的服务的固定 IP 地址

Question

我们公司刚搬到新办公室，因此也获得了新的网络设备。事实证明，我们的新防火墙不允许通过 VPN 推送路由，它首先必须查找 IP 地址。

众所周知，亚马逊 AWS 不允许其应用程序负载均衡器使用静态 IP 地址。

所以我们的想法是简单地在应用程序负载均衡器前面放置一个网络负载均衡器（aws 本身描述了一种非常 hacky 的方式（https://aws.amazon.com/blogs/networking-and-content-delivery/ using-static-ip-addresses-for-application-load-balancers/）似乎工作正常（即使我不太喜欢使用 lambda 脚本注册和注销目标的方法）

所以这是我们的问题：事实证明，应用程序负载均衡器只能看到网络负载均衡器的 IP 地址。这可以防止我们使用安全组进行 ip 白名单，我们非常重视这一点。除此之外，我们的一些应用程序（基于 Nginx/PHP）还进行 ip 地址验证和用于将客户端 ip 地址作为 x-forwarded-for 标头传递的 alb。现在我们的应用程序只能看到来自 nlb 的那个。

我们知道使用全球加速器的可能性，但这是一项巨大的投资，因为我们并不真正需要 GA 试图解决的问题。

那么你们是如何解决这个问题的呢？

感谢您的帮助:)

问候

标签： amazon-web-servicesamazon-ec2

Answer 1

您可以获得 ALB 所在区域的 AWS IP 地址列表，并允许它们在防火墙中使用。他们确实发布了列表，您可以对其进行过滤https://docs.aws.amazon.com/general/latest/gr/aws-ip-ranges.html

我自己没有这样做，我不确定 ALB 的地址是否包含在您的 EC2 类别下，是否会“确保安全”整个亚马逊服务。