AWS VPC - 通过堡垒主机访问在私有子网中运行的 webapp

Question

我在 AWS 中使用 Terraform 设置了这个 VPC 架构：

1. 1 个 VPC，适用于所有环境，带有 1 个 Internet 网关
2. 一个地区的VPC
3. 3 个可用区，每个可用区有 1 个私有子网和 1 个公共（实用程序）子网（共 6 个子网）
4. 3 个 NAT 网关 - 每个公用事业子网一个，分配给其网络接口的 3 个弹性 IP
5. 3 个 EIP - 每个都与公共子网的网络接口相关联
6. 1 个堡垒主机（关联公共 IP），允许 SSH 访问私有 EC2 实例
7. EC2 实例（每个私有子网中的 1 个主节点和 1 个节点）
8. 跨 3 个可用区的 1 个弹性负载均衡器，ELB 中的实例引用 3 个主节点。

我可以通过堡垒主机通过 SSH 访问 EC2 实例，没有任何问题。我在其中一个 EC2 实例中部署了一个简单的 webapp（假设一个 webapp 在端口 5000 的 docker 容器中运行）。现在如何从我的浏览器访问在端口 5000 上运行的这个 web 应用程序？是通过堡垒主机的公网IP吗？如果是，端口转发如何发生在运行 webapp 的正确 EC2 实例上？

感谢您的帮助。

阿卜杜勒。

Answer 1

我假设公用子网是公共子网？如果是，那么您将需要在那里部署一些东西来引导网络流量。通常这将是一个弹性负载均衡器，但您可以部署运行 Nginx 或 Apache 的 EC2 实例。

这会将来自 Internet 的流量传递到私有子网中的 EC2 实例，以便您可以浏览 Web 应用程序。

Answer 2

要从浏览器访问它，您必须执行以下操作之一：

• 将您希望将流量引导至您的 ELB 的特定实例添加。也就是说，从负载均衡器中删除您不想访问的实例。这不是一个安全的选择。
• 使用SSH port forwarding 覆盖实例，假设堡垒可以访问 Web 服务器上的端口。请参阅“本地隧道”部分。你的命令看起来像这样：ssh -L 8080:your-webserver-ip:5000 ip-of-your-bastion -N;然后，在您的浏览器中，导航到 http://localhost:8080/
• 安装 OpenVPN appliance 以通过 VPN 直接连接到您的实例
• 将实例设为公有（将其移至公有子网）并为其分配 EIP