aws 应用程序负载均衡器后面的服务的固定 IP 地址答案

【问题标题】：Fixed IP address for service behind aws application load balanceraws 应用程序负载均衡器后面的服务的固定 IP 地址
【发布时间】：2020-11-30 08:05:28
【问题描述】：

我们公司刚搬到新办公室，因此也获得了新的网络设备。事实证明，我们的新防火墙不允许通过 VPN 推送路由，它首先必须查找 IP 地址。

众所周知，亚马逊 AWS 不允许其应用负载均衡器使用静态 IP 地址。

所以我们的想法是简单地在应用程序负载平衡器前面放置一个网络负载平衡器（aws 本身描述了一种非常 hacky 的方式 (https://aws.amazon.com/blogs/networking-and-content-delivery/using-static-ip-addresses-for-application-load-balancers/) 似乎工作正常（即使我不是真的就像使用 lambda 脚本注册和注销目标的方法一样）

所以这是我们的问题：事实证明，应用程序负载均衡器只能看到网络负载均衡器的 IP 地址。这可以防止我们使用安全组进行 ip 白名单，我们非常重视这一点。除此之外，我们的一些应用程序（基于 Nginx/PHP）还进行 ip 地址验证和用于将客户端 ip 地址作为 x-forwarded-for 标头传递的 alb。现在我们的应用程序只能看到来自 nlb 的那个。

我们知道使用全球加速器的可能性，但这是一项巨大的投资，因为我们并不真正需要 GA 试图解决的问题。

那么你们是怎么解决这个问题的呢？

感谢您的帮助:)

问候

【问题讨论】：

是否像现在一样运行 NLB + ALB，比运行 GA 和 ALB 便宜得多？
所以你最终决定什么？我也有同样的问题。

标签： amazon-web-services amazon-ec2

【解决方案1】：

您可以获得您的 ALB 所在区域的 AWS IP 地址列表，并允许它们在您的防火墙中使用。他们确实发布了列表，您可以对其进行过滤https://docs.aws.amazon.com/general/latest/gr/aws-ip-ranges.html

我自己没有这样做，我不确定 ALB 的地址是否包含在您的 EC2 类别下，您是否会“确保”整个 AMAZON 服务的安全。

【讨论】：

谢谢，但这与白名单无关。我们办公室的防火墙是我们的 VPN 网关，我们需要将某些路由推送给在家办公的员工。我们限制某些服务只能从我们的办公室 IP 地址访问，但我们的 VPN 网关不支持推送动态 IP 地址。

【解决方案2】：

你能扩展一下吗？ “我们知道使用全球加速器的可能性，但这是一项巨额投资，因为我们并不真正需要 GA 试图解决的问题。” GA 应该为您提供更好、更一致的性能，尤其是当您的办公室远离运行 ALB 的 AWS 区域时

【讨论】：

确实，但性能在这里不是问题，我们选择的 AWS 区域距离我们的办公室只有 200-300 公里（当然路由有时会走上疯狂的道路）。这实际上只是关于静态 IP 地址
知道了。出于好奇，如果您使用 GA，成本会是多少？在美国/欧盟应该是 0.015 美元/GB，在亚太地区应该是 0.01 美元/GB（有一些例外），并且您只需为主导方向付费（因此，如果您向 AWS 区域进行 49GB 入站和 51GB 出站，您只需为51GB 出站）。