AWS API网关和负载均衡器安全通信

Question

我们在EC2集群前面使用AWS API网关和负载均衡器。网关需要公共托管负载均衡器，这就是为什么我们将负载均衡器放在VPC的公共子网中，并将所有EC2实例放在私有VPC中。

我们面临的问题是，由于我们的负载平衡器位于公共VPC中，我们如何使来自API网关的请求无效。我们只想将来自负载平衡器的请求传递到EC2实例，如果且仅当它通过我们的API网关时。

当我探索可能的解决方案时，有人建议使用来自网关的公共客户端证书来验证您的请求。我能够从网关获得这个公共证书，但并没有找到任何方法在负载平衡器中配置它。

Answer 1

在进一步分析中，我遇到了以下对AWS API网关方法的担忧。

1. 当lambda容器不重复使用或处于冷态时，VPC对lambda容器初始化时间有很大影响。根据其他人的经验，这可能需要10到15秒，并且可能会延迟响应时间。即使是热lambda，当您从它访问VPC时，也会产生延时成本
2. Lambda需要足够数量的ENI和专用IP范围来支持并行执行。这意味着如果在运行时，负载增加，并且如果没有任何ENI空闲，则请求将失败。我们不确定是否可以根据请求负载在运行时动态增加ENI
3. 如果由于ENI不可用而出现任何错误或超时，AWS不会为其创建任何日志，您可能对错误源一无所知

Answer 2

无法在负载平衡器级别验证客户端证书。您需要在容器级别验证它。

您可以遵循另一种方法，保持负载平衡器的私有性，并使用Lambda函数（位于专有网络内部）代理负载平衡器，在那里您可以验证客户端证书。

Answer 3

现在正确的解决方案是使用VPC链接和AWS的网络负载均衡器。您在VPC资源（例如EC2实例）前面设置网络负载均衡器，然后创建API网关VPC链接。在API网关集成中，您选择VPC链接，您可以访问网络负载均衡器，并扩展您的私有EC2实例。