AWS에서 외부 ELB와 내부 ELB를 어떻게 구별 할 수 있습니까?

별도의 "영역"(VPC)과 클러스터 된 서버가 있습니다. "DMZ"영역에는 뒤 및 앞 NIC가 다른 클러스터가 있습니다. 172.30.x.x는 인터넷 쪽을 서비스하며 10.0.x.x는 (더 많은) 보안 영역으로의 뒷면 연결을 제공합니다.AWS에서 외부 ELB와 내부 ELB를 어떻게 구별 할 수 있습니까?

클러스터 된 환경을 사용하고 있으므로 인터넷 (172.30.x.x)의 외부 연결과 내부 영역 (10.0.x.x)의 내부 ELB에 대한 설정로드 균형 조정기 (ELB)가 있습니다.

앞/뒤로 (172.30.xx/10.0.xx)의 리스너에 ACL (허용/거부)을 추가해야하지만 내 문제는 AWS ELB가 외부 ELB와 내부 EL에 대해 동일한 소스 IP를 가지고 있다는 것입니다. ELB. 원본 원본 IP는 ACL이 원본 IP 만 처리하고 HTTP 헤더는 처리 할 수 없으므로 X-forwarded-for 헤더가 작동하지 않습니다.

이제 ACL 모두 인터넷 전화 등의 가치가 및 후면 영역에서 호출

어디 ELB의 모두 ... "라이브"

어떤 제안에의 VPC입니다 172.30.xx의 범위에서 소스 IP의를 가지고 ACL (또는 보안 설정 그룹 또는 후면 연결 만 10.0.xx 수신기에 도달 할 수 있도록하는 방법)에 대해 내부 및 외부 IP를 구분할 수있는 방법은 무엇입니까?

출처

2016-07-19 Anders

이미 설명 된 설치가 되었습니까? 아니면 단지 설계입니까? –

내부 및 외부 ELB를 동일한 서브넷에 넣었습니까? –

예, 실행중인 설정입니다. 예, 두 대의 ELB가 동일한 VPC (서브넷)에있는 NIC와 동일한 서버입니다. – Anders

ELB에는 정적 IP가 없으므로이를 기반으로 ACL 규칙을 만들 수 없습니다. 보안을위한 최상의 방법으로 공개 대외 ELB는 외부 트래픽을 수신하지 않아야하는 ELB 또는 인스턴스/인터페이스에서 별도의 서브넷에 있어야합니다 (물론 여러 가용 영역에 걸쳐 있기를 원하기 때문입니다).

외부 ELB를 다른 용도로 사용되지 않는 서브넷으로 이동하십시오. 올바른 서브넷에 새로운 ELB를 작성하고, 백엔드 인스턴스를 추가하고, ELB를 가리키는 DNS 레코드를 변경하기 때문에, 이미 사용중인 경우 중단 시간을 제로로 달성 할 수 있습니다. 그러면 좋을 것입니다. 이렇게하면 적절한 서브넷 CIDR 블록에 대한 ACL 규칙을 만들 수 있습니다.

출처

2016-07-19 18:27:30

내 ACL은 서브넷의 CIDR 블록을위한 것입니다. 내 "front"는 172.30.0.0/24이고 내 "back"은 "10.0.0.0/24"입니다. 전체적인 생각을 다시 생각할 수도 있지만 "전면"ELB를 새로운 VPC로 옮기는 것이 의미가 있습니다. 그런 다음 새로운 보안 그룹을 추가 할 수도 있습니다. – Anders

AWS에서 외부 ELB와 내부 ELB를 어떻게 구별 할 수 있습니까?

답변

관련 문제