如何區分AWS中的外部和內部ELB？

我有單獨的「區域」（VPC的），並在他們的羣集服務器。在「DMZ」區域中，我有一個具有不同前後NIC的羣集。 172.30.x.x服務於面向互聯網的一面，而10.0.x.x服務於（更多）安全區域的任何背面連接。如何區分AWS中的外部和內部ELB？

由於我使用的是集羣環境，我已經設置了負載平衡器（ELB），一個用於來自Internet（172.30.x.x）的外部連接和一個內部區域（10.0.x.x）的內部ELB。

我需要爲前/後（172.30.xx/10.0.xx）上的監聽器添加ACL（允許/拒絕），但我的問題是AWS ELB對於外部ELB和內部來說都具有相同的源IP ELB。原始源IP僅包含在X-forwarded-for標頭中，因爲ACL只能處理源IP而非HTTP標頭，所以不起作用。

現在ACL是毫無價值既是互聯網電話，並從背面區要求有源IP在這是其中兩個ELB的「活」 ......

任何建議對VPC的172.30.xx範圍我如何區分ACL的內部和外部IP（或設置安全組或其他措施以確保只有背面連接可以達到10.0.xx聽衆）？

2016-07-19 Anders

你已經有了描述的設置，還是隻是設計？ –

你把內部和外部的ELB放在同一個子網中嗎？ –

是的，這是一個正在運行的設置，並且，是的，兩個ELB都與服務器在同一個VPC（子網）中，並且網卡的服務器是同一臺服務器... – Anders

ELB沒有靜態IP，因此您無法基於此創建ACL規則。作爲安全性最佳實踐，您的面向公衆的外部ELB應該位於不應接收外部流量的任何ELB或實例/接口的單獨子網上（因爲當然，您希望它們分佈在多個可用區域中）。

將您的外部ELB移至未用於其他任何網絡的子網。如果它們已經被使用，這可以通過零宕機來實現，因爲您只需在正確的子網中創建新的ELB，添加後端實例，更改指向ELB的任何DNS記錄，並且您應該很好。這允許爲適當的子網CIDR塊創建ACL規則。

2016-07-19 18:27:30

我的ACL適用於子網的CIDR塊，例如。我的「前」有172.30.0.0/24，我的「後退」有「10.0.0.0/24」。我可能會重新考慮整個交易，但將「front」ELB移動到新的VPC是有意義的，那麼我當然也可以爲他們添加新的安全組。 – Anders

回答