负载平衡的 Elastic Beanstalk 中来自 AWS EC2 的出站请求的 IP 地址范围答案

【问题标题】：IP address range for outbound requests from AWS EC2 in a load-balanced Elastic Beanstalk负载平衡的 Elastic Beanstalk 中来自 AWS EC2 的出站请求的 IP 地址范围
【发布时间】：2020-03-21 19:30:22
【问题描述】：

假设我们有一个应用程序在负载平衡的 Elastic Beanstalk 堆栈中的 EC2 实例上运行。此应用程序希望 (1) 调用由外部主机提供的 Web 服务，和/或 (2) 在外部主机上打开安全 TN5250（即通过 SSL 安全 Telnet 的 5250 数据流）会话。

有没有一种方法可以为这些外部主机提供可靠的 IP 地址范围来预期我们的流量？

（交叉发布到 AWS EC2 开发人员论坛。）

【问题讨论】：

标签： amazon-web-services amazon-ec2 amazon-elastic-beanstalk

【解决方案1】：

如果 Amazon EC2 实例位于 私有子网 中，那么您将需要公有子网中的 NAT 网关 为它们提供 Internet 访问。 弹性 IP 地址与 NAT 网关相关联，该网关保持静态并可用于白名单。来自实例的所有出站流量都将来自 NAT 网关的 IP 地址。

如果 Amazon EC2 实例位于公共子网并需要静态 IP 地址，则它们将每个实例都需要自己的弹性 IP 地址。请注意，您账户中的弹性 IP 地址数量是有限制的。

【讨论】：

我已将此线程传递给开发此应用程序的团队，他们报告说私有子网解决方案将阻止我们直接从外部 ssh 访问 EC2 实例。对吗？
是的，没错。此外，保护私有子网中的实例也是“最佳实践”。他们可以使用堡垒服务器（Jump Box）或 VPN 连接或 Direct Connect 连接来访问私有子网中的资源。但是，您可以轻松地将所有内容保存在公共子网中并使用安全组来控制访问。一个缺点是每个 EC2 实例都有自己的公共 IP 地址。虽然这些地址将来自 specific range，但它对于白名单来说太宽了，除非您 BYO IP 到 AWS。
“直接连接”？不是我听说过的。我在 Wikipedia 中看到的只是文件共享协议。你指的是那个，还是其他的东西？
AWS Direct Connect 涉及在您的位置和 AWS 区域之间安装光纤连接。这实际上是一个专用 VPN，但不通过 Internet。