amazon-web-services - Network Load Balancer 的 AWS EC2 安全组权限

Question

我一直致力于保护我的 AWS 基础设施，但在网络负载均衡器和目标组方面遇到了困难。下面是问题所在。

我有一个在 EC2 资源上运行的 ECS 集群。所有容器都由一个任务管理，该任务由具有动态端口映射的服务运行。每个容器都映射到不同的端口并附加到目标组。

目标组通过应用程序负载均衡器 (ALB) 向公众公开，并使用路径映射设置到不同目标组的路由。

EC2 有一个安全组，允许来自 VPC Cider 和 ALB 安全组的所有流量。

现在，在此设置中，一切都按预期工作。真正的问题是，我需要公开一个 MySQL 容器服务，根据我的理解，我必须使用网络负载均衡器，因为它是一个 TCP 连接。

我创建了一个新的网络负载均衡器 (NLB)，并将端口 8080 的监听器添加到 MySQL 服务的目标组。健康检查顺利通过，因为我相信它是在 VPC 内启动的，并且由于 EC2 安全组设置为允许来自 VPC 的所有流量，它按预期工作。

但是，我的外部流量不允许进入 EC2，因为我没有明确允许连接到目标组实例的动态端口。

例如在端口 32778 上注册的 MySQL 实例状态良好，但我无法通过 NLB 上的 8080 监听器连接到 MySQL。

请让我知道我在这里做错了什么，如果您明白我正在尝试做的事情，是否有其他方法可以解决同样的问题。

Answer 1

网络负载均衡器管理来自与目标组中的实例关联的安全组的流量。引用this回答更多细节。因此，如果 X 是您要访问 NLB 的 ip，则必须将 X 添加为目标组实例中的入站规则。

在端口 32778 上注册的 MySQL 实例状态良好，但我无法通过 NLB 上的 8080 监听器连接到 MySQL

因此，要执行上述评论，您必须在目标组实例中添加入站规则以接受来自您的 ip 的端口 8080 的流量。