无法从 VPC 中的实例连接到面向 Internet 的 ELB

Question

我有一个面向 Internet 的 V2 ELB。当我从笔记本电脑连接到 VPC 时，它会将请求路由到 VPC 中的实例。但是，当我尝试从同一 VPC 内的另一个实例连接到它时，安全组防火墙规则会阻止连接。

我可以让 VPC 中的实例连接到 ELB 的唯一方法是向全世界开放 https 端口 (443)。

我做错了什么？

ELB (https://elb.domain.com) 具有以下属性：

• 面向 Internet，V2（非经典 ELB）
• VPC：vpc-aaa
• 可用区：subnet-a,subnet-b
• 监听器：443 -> 8080 实例端口
• 源安全组：my-vpc-elb，入站规则：
  • 443，来源：1.2.3.170/32（我的笔记本IP）
  • 443，来源：sg-a（我的无法连接的 vpc 实例所在的 sg 的名称）
  • 443，来源<CIDR of vpc-aaa, 1.2.0.0/16>

我可以在我的笔记本电脑上输入https://elb.domain.com，一切正常。

我现在有另一个实例，它具有以下无法连接到 https://elb.domain.com 的属性：

• 子网 ID：subnet-a
• 安全组：sg-a

为什么443, source: sg-a的ELB安全组规则不允许连接？为什么只有当我在 ELB 安全组中允许 443 上的入站“所有流量”时它才有效？

Answer 1

VPC 中的实例在连接到面向公众的负载均衡器时将始终退出 VPC 并从公共 IP 返回。在这种情况下，无法按安全组锁定入站流量。

如果尝试连接到 ELB 的 VPC 实例不需要公共 IP，您可以简单地在 ELB 上设置一个入站规则，只允许源是您的 VPC NAT 网关的源。

如果它们确实需要公共 IP，您必须指定 AWS VPC 公共 IP 范围，或者如果您使用 EIP，则可以指定 EIP。