Application Load Balancer 的安全组 - Elastic Load Balancing
推荐的规则更新关联的安全组
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Application Load Balancer 的安全组

应用程序负载均衡器的安全组控制允许到达和离开负载均衡器的流量。您必须确保负载均衡器可同时在侦听器端口和运行状况检查端口上与已注册目标进行通信。当您将侦听器添加到负载均衡器或更新负载均衡器所使用的目标组的运行状况检查端口来路由请求时，您必须验证与负载均衡器关联的安全组是否允许新端口上的双向流量。如果它们不允许，您可以编辑当前关联的安全组的规则或将其他安全组与负载均衡器关联。您可以选择允许的端口和协议。例如，您可以打开负载均衡器的 Internet 控制消息协议 (ICMP) 连接，以响应 Ping 请求 (但是，Ping 请求不会转发至任何实例)。

对于面向 Internet 的负载均衡器，建议使用以下规则。

Inbound
源 端口范围 评论

0.0.0.0/0

侦听器

在负载均衡器侦听器端口上允许所有入站流量

Outbound

目的地 端口范围 评论

实例安全组

实例侦听器

在实例侦听器端口上允许流向实例的出站流量

实例安全组

运行状况检查

在运行状况检查端口上允许流向实例的出站流量

建议内部负载均衡器使用以下规则。

Inbound
源 端口范围 评论

VPC CIDR

侦听器

在负载均衡器侦听器端口上允许来自 VPC CIDR 的入站流量

Outbound

目的地 端口范围 评论

实例安全组

实例侦听器

在实例侦听器端口上允许流向实例的出站流量

实例安全组

运行状况检查

在运行状况检查端口上允许流向实例的出站流量

对于用作 Network Load Balancer 目标的 Application Load Balancer，建议使用以下规则。

Inbound
来源 端口范围 注释

客户端 IP 地址/CIDR

alb 侦听器

在负载均衡器侦听器端口上允许入站客户端流量

VPC CIDR

alb 侦听器

允许入站客户端流量通过 Amazon PrivateLink 负载均衡器侦听器端口

VPC CIDR

alb 侦听器

允许来自 Network Load Balancer 的入栈运行状况流量

Outbound

目标位置 端口范围 评论

实例安全组

实例侦听器

在实例侦听器端口上允许流向实例的出站流量

实例安全组

运行状况检查

在运行状况检查端口上允许流向实例的出站流量

请注意，Application Load Balancer 的安全组使用连接跟踪来跟踪有关来自 Network Load Balancer 的流量的信息。无论为 Application Load Balancer 设置的安全组规则如何，都会执行此跟踪 要了解有关 Amazon EC2 连接跟踪的更多信息，请参阅 适用于 Linux 实例的 Amazon EC2 用户指南中的安全组连接跟踪。

为确保您的目标仅接收来自负载均衡器的流量，请将与您的目标关联的安全组限制为仅接受来自负载均衡器的流量。这可以通过将负载均衡器的安全组设置为目标安全组的入口规则中的来源来实现。

我们还建议您允许入站 ICMP 流量以支持路径 MTU 发现。有关更多信息，请参阅适用于 Linux 实例的 Amazon EC2 用户指南中的路径 MTU 发现。

更新关联的安全组

您可以随时更新与负载均衡器关联的安全组。

使用控制台更新安全组

  1. 通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

  2. 在导航窗格中，选择负载均衡器。

  3. 选择负载均衡器。

  4. 在安全性选项卡上，选择编辑。

  5. 要将一个安全组与负载均衡器关联，请选择此安全组。要删除安全组关联，请选择安全组的 X 图标。

  6. 选择 ‬保存更改。

要使用更新安全组 Amazon CLI

使用 set-security-groups 命令。