amazon-web-services - 无法从 VPC 中的实例连接到面向 Internet 的 ELB

Question

我有一个面向互联网的 V2 ELB。当我从笔记本电脑连接到 VPC 时，它会将请求路由到 VPC 中的实例。但是，当我尝试从同一 VPC 内的另一个实例连接到它时，安全组防火墙规则会阻止连接。

我可以让 VPC 中的实例连接到 ELB 的唯一方法是向全世界开放 https 端口 (443)。

我究竟做错了什么？

ELB (https://elb.domain.com) 具有以下属性:

面向 Internet，V2(非经典 ELB)

VPC:vpc-aaa

可用区:子网-a、子网-b

监听器:443 -> 8080 实例端口

源安全组:my-vpc-elb，入站规则:

443，来源:1.2.3.170/32(我的笔记本IP)

443，来源:sg-a(我的无法连接的 vpc 实例所在的 sg 的名称)

443，来源<CIDR of vpc-aaa, 1.2.0.0/16>

我可以从我的笔记本电脑上输入 https://elb.domain.com一切正常。

我现在有另一个实例，它具有以下无法连接到 https://elb.domain.com 的属性:

子网 ID:subnet-a

安全组:sg-a

443, source: sg-a的ELB安全组规则为什么不允许连接？为什么只有当我在 ELB 安全组中允许 443 上的入站“所有流量”时它才有效？

Answer 1

VPC 中的实例在连接到面向公众的负载均衡器时将始终退出 VPC 并从公共(public) IP 返回。在这种情况下，无法按安全组锁定入站流量。

如果尝试连接到 ELB 的 VPC 实例不需要公共(public) IP，您可以简单地在 ELB 上设置一个入站规则，只允许源是您的 VPC NAT 网关的源。

如果它们确实需要公共(public) IP，则您必须指定 AWS VPC 公共(public) IP 范围，或者如果您使用 EIP，则可以指定 EIP。