是否可以将ip列入白名单，以便与aws负载平衡器后面的ec2实例进行入站通信？

Question

我有一个ec2实例在aws的弹性负载平衡器后面运行一个网站。主要是因为我想使用亚马逊新推出的免费https ssl。

我的挑战是，我需要在安全组中将我的IP地址列入白名单，以便我是唯一可以看到这个网站的人（并且我可以根据需要选择性地添加人员）。

我已经成功地将没有负载平衡器的IP地址列入了白名单。我的挑战是在我的IP地址和ec2实例之间使用负载平衡器代理白名单出我的IP地址。

似乎我的ec2实例不会向负载平衡器注册，因为我的ec2的安全组不允许来自任何IP地址（我自己的IP地址除外）的传入流量。

我正在寻找一种方法，让我的负载均衡器能够健康检查我的ec2，但只允许特定的白名单ips实际看到该网站。

Answer 1

通过更改EC2的安全组，允许从分配给负载平衡器的安全组在端口80上传入http连接，我能够解决这个问题。

然后，我的负载平衡器本身允许从任何地方在端口80上传入HTTP流量。

所以我想这里的诀窍是，您可以允许来自IP或安全组的传入连接。

Answer 2

如果您使用的是专有网络（您确实应该这样），那么您将有一个安全组连接到负载平衡器。这就是您将IP地址列入白名单的地方。EC2服务器只需要将负载平衡器的安全组列入白名单。

您可以将其可视化如下：

您的IP-

安全组1验证IP地址是否在白名单上，并允许流量通过负载平衡器。负载平衡器将流量发送到池中的一个实例。安全组2验证流量是否来自属于安全组1（负载平衡器）的某个内容，该安全组已被列入白名单，并允许它传递到EC2实例。