目标组在私有 VPC 配置中具有目标的网络负载均衡器无法正常工作答案

【问题标题】：Network load balancer with Target group having targets inside Private VPC configuration not working目标组在私有 VPC 配置中具有目标的网络负载均衡器无法正常工作
【发布时间】：2018-06-12 01:25:41
【问题描述】：

我的 VPC 有四个子网，其中 2 个是私有子网，2 个是公共子网。我已将网络负载均衡器创建到存在于不同可用区的 2 个公共子网中。我还创建了目标组以在其中包含目标 EC2 实例私有子网。

如文档中所述，我已将负载均衡器节点子网的主要私有 IP 列入白名单。 https://docs.aws.amazon.com/elasticloadbalancing/latest/network/target-group-register-targets.html#target-security-groups

健康检查调用适用于标记为“健康”的那些实例。但是与外部世界的 TCP 通信无法访问 NLB 端点。但是，当我将 EC2 实例列入白名单以允许访问特定 TCP 端口的所有（0.0.0.0/0）时，我就可以在 VPC 之外访问该 NLB。我是否错误配置了 EC2 访问权限？

【问题讨论】：

标签： amazon-ec2 load-balancing amazon-elb elastic-load-balancer

【解决方案1】：

公共网络负载均衡器通过修改 Internet 网关的行为来平衡流量……或者至少从用户的角度来看是这样。

已记录的允许来自负载平衡器私有 IP 的流量的需要仅是为了允许运行状况检查器访问 - 运行状况检查请求似乎来自平衡器的地址。

所有其他流量似乎都来自客户端的实际 IP 地址。任何需要通过平衡器连接到实例的客户端地址都需要在实例的安全组中被允许。

【讨论】：

我对经典负载均衡器的概念感到困惑。所以 netwok 负载均衡器后面的实例获取流量，因为它来自客户端而不是负载均衡器。
正确，这就是为什么它被称为 network 负载平衡器......它在 OSI“网络”层 - 第 3 层 - 直接操作数据包上的地址，而不是在每个方向上创建套接字并将有效负载流捆绑在更高层之一。