有什么方法可以配置 AWS 安全组以允许私有实例访问面向公众的负载均衡器？

Question

我有一个包含两个不同站点的 Web 应用程序。每个都可以通过 HTTP 访问。当您访问站点 #1 时，它将直接为该站点提供服务。当您访问站点 #2 时，它实际上会通过 REST API 调用在后台连接到站点 #1。该架构如下图所示。

显示的所有实例（蓝色）只有私有 IP 地址。两个负载均衡器都面向 Internet，因为来自 VPC 外部的人员需要访问应用程序。每个自动缩放组都有一个关联的安全组，该安全组应用于其每个实例。

如果这些实例没有公共 IP 地址，我如何配置 LoadBalancer #1 以接受来自 Auto-Scale Group #2 的 HTTP 调用？我需要一个面向私有的负载均衡器和一个面向互联网的负载均衡器吗？

我希望在我的 Cloudformation 文件中自动完成所有这些配置。

Answer 1

AWS Elastic Load Balancing 服务为负载均衡器提供 DNS 名称。访问负载均衡器时应使用此名称。

DNS 名称解析为多个公共 IP 地址之一。因此，Auto Scaling Group #2 中的实例需要访问 Internet。

如果所有实例都在公共子网中，那么它们应该能够访问 Internet，因此，负载均衡器 #1。

如果实例位于私有子网中，它们将需要一些访问 Internet 的方法。这通常通过在公共子网中启动 NAT 实例并在私有子网上配置路由表以将 Internet 流量路由到 NAT 服务器来完成。

流量实际上不会穿越互联网。相反，它们将通过弹出 VPC 然后再返回来穿越 AWS 的互联网边缘。

负载均衡器 #1 无需配置，因为它已经在接受传入流量。