Bạn có đang xuất bản ứng dụng web/API không? Nếu vậy, có lẽ bạn nên sử dụng bộ cân bằng tải ứng dụng thay vì bộ cân bằng tải mạng. NLB thường được sử dụng cho (các) ứng dụng không phải http, bạn có thể sử dụng chúng với (các) http nhưng ALB có xu hướng phù hợp hơn.
cân nhắc thiết kế
Tôi khuyên bạn nên suy nghĩ xem liệu bạn có thực sự cần một IP tĩnh hay không. Một số hệ thống cũ hoặc hệ thống nhúng có thể cần nó, nhưng hầu hết đều ổn với địa chỉ DNS. Nếu bạn thực sự cần một IP tĩnh, bạn có thể sử dụng một trong những kỹ thuật này (hoặc những người khác bạn tìm thấy trên Google) để cung cấp cho ALB một IP tĩnh, AWS Global Accelerator sẽ làm điều đó nhưng tôi không chắc đó là giải pháp tốt cho bạn. Bạn cũng phải xem xét tính khả dụng cao.
Về IP tĩnh cho danh sách cho phép, bạn có thể cân nhắc thực hiện xác thực bằng AWS Cognito được tích hợp với ALB (tốt nhất) hoặc bên trong bộ chứa của bạn. Chúng tôi thường liên kết với Azure AD, nhưng bạn có thể xác định người dùng/nhóm trong Cognito. Lưu lượng truy cập của người dùng vào ALB chỉ đến được bộ chứa/máy chủ đích nếu Cognito cho phép lưu lượng truy cập.
Đề xuất chính: AWS ALB được tích hợp với AWS Cognito để xác thực, nhóm bảo mật xung quanh ALB nếu bạn muốn nhưng không yêu cầu danh sách cho phép.
Câu hỏi gốc
ALB có các nhóm bảo mật. Cân bằng tải mạng thì không. Một NLB ẩn đối với lưu lượng truy cập, vì vậy bạn đặt một nhóm bảo mật xung quanh tài nguyên (vùng chứa) của mình thay vì bộ cân bằng tải của bạn.
Tùy chọn danh sách trắng IP ALB:
- Bạn có thể đưa quyền truy cập vào ALB với một nhóm bảo mật vào danh sách trắng, nhưng bạn không thể đưa vào danh sách đen với một nhóm bảo mật. Có một số quy tắc tối đa, nhưng mỗi ALB có thể có nhiều SG được đính kèm - mặc dù vậy hãy cẩn thận vì nó có thể ảnh hưởng đến hiệu suất. Đây là đề xuất phụ của tôi dành cho bạn nếu bạn không muốn sử dụng Cognito.
- Bạn có thể đưa vào danh sách trắng hoặc danh sách đen với Danh sách kiểm soát truy cập mạng (NACL)
- Bạn có thể làm điều gì đó bên trong vùng chứa bằng tường lửa cục bộ, nhưng tôi không đề xuất điều đó
Các tùy chọn Danh sách cho phép của IP NLB:
- Nhóm bảo mật xung quanh bộ chứa ECS
- NACL xung quanh (các) mạng con
