AWS 限制从云端到负载均衡器的访问答案

【问题标题】：AWS Restrict access from cloudfront to load balancerAWS 限制从云端到负载均衡器的访问
【发布时间】：2014-12-17 21:57:18
【问题描述】：

我正在使用具有负载平衡和 ec2 实例的 Cloudfront。

在 AWS 中，我的负载均衡器接受来自所有 http 连接的流量。是否可以限制它只接受来自我的 Cloudfront 发行版的 http 连接？我该怎么做？

谢谢。

【问题讨论】：

ELB 传入流量不能被限制，除非它们在 VPC 内

标签： security amazon-web-services amazon-ec2 amazon-cloudfront

【解决方案1】：

现在有一个解决方案。现在有一个 lambda 监听来自亚马逊的 IP 更新，并将使用云端 IP 更新您的安全组。

Lambda to update Security Groups with Cloudfront IPs

【讨论】：

【解决方案2】：

AFAIK，您不能在第 3 层执行此操作，因为 ELB 将允许从任何地方 (0.0.0.0/0) 访问。

如果您正在运行 Apache 并且可以找到 cloudfront 使用/设置的特定标头，那么您可以使用 mod_headers 在第 7 层执行此操作。

根据http://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/RequestAndResponseBehaviorCustomOrigin.html cloudfront 会将标头Via 设置为1.1 alphanumeric-string.cloudfront.net，因此您可以通过执行以下操作在您的虚拟主机中匹配它：

SetEnvIf Via "^1\.1\ [a-z0-9]+\.cloudfront\.net$ VIA_CLOUDFRONT
<LocationMatch /origin/>
    Options -Indexes
    Order deny,allow
    Deny from all

    # allow from cloudfront only
    Allow from env=VIA_CLOUDFRONT
</LocationMatch>

【讨论】：