Application Load Balancer 的安全组 - Elastic Load Balancing
推荐的规则更新关联的安全组
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Application Load Balancer 的安全组

应用程序负载均衡器的安全组控制允许到达和离开负载均衡器的流量。您必须确保负载均衡器可同时在侦听器端口和运行状况检查端口上与已注册目标进行通信。当您将侦听器添加到负载均衡器或更新负载均衡器所使用的目标组的运行状况检查端口来路由请求时，您必须验证与负载均衡器关联的安全组是否允许新端口上的双向流量。如果它们不允许，您可以编辑当前关联的安全组的规则或将其他安全组与负载均衡器关联。您可以选择允许的端口和协议。例如，您可以打开 Internet 控制消息协议 (ICMP) 连接，让负载均衡器响应 ping 请求（但是，ping 请求不会转发到任何实例）。

对于面向 Internet 的负载均衡器，建议使用以下规则。

Inbound
Source Port Range Comment

0.0.0.0/0

listener

在负载均衡器侦听器端口上允许所有入站流量

Outbound

Destination Port Range Comment

instance security group

instance listener

在实例侦听器端口上允许流向实例的出站流量

instance security group

health check

在运行状况检查端口上允许流向实例的出站流量

建议内部负载均衡器使用以下规则。

Inbound
Source Port Range Comment

VPC CIDR

listener

允许来自负载均衡器监听器端口的入站流量 VPC CIDR

Outbound

Destination Port Range Comment

instance security group

instance listener

在实例侦听器端口上允许流向实例的出站流量

instance security group

health check

在运行状况检查端口上允许流向实例的出站流量

对于用作 Network Load Balancer 目标的 Application Load Balancer，建议使用以下规则。

Inbound
Source Port Range Comment

client IP addresses/CIDR

alb listener

在负载均衡器侦听器端口上允许入站客户端流量

VPC CIDR

alb listener

允许入站客户端流量通过 Amazon PrivateLink 负载均衡器侦听器端口

VPC CIDR

alb listener

允许来自 Network Load Balancer 的入栈运行状况流量

Outbound

Destination Port Range Comment

instance security group

instance listener

在实例侦听器端口上允许流向实例的出站流量

instance security group

health check

在运行状况检查端口上允许流向实例的出站流量

请注意，Application Load Balancer 的安全组使用连接跟踪来跟踪有关来自 Network Load Balancer 的流量的信息。无论为 Application Load Balancer 设置的安全组规则如何，都会执行此跟踪 要了解有关亚马逊EC2连接跟踪的更多信息，请参阅亚马逊EC2用户指南中的安全组连接跟踪。

为确保您的目标仅接收来自负载均衡器的流量，请限制与目标关联的安全组仅接受来自负载均衡器的流量。这可以通过在目标安全组的入口规则中将负载均衡器的安全组设置为源来实现。

我们还建议您允许入站ICMP流量以支持 Path MTU Discovery。有关更多信息，请参阅 Amazon EC2 用户指南中的路径MTU发现。

更新关联的安全组

您可以随时更新与负载均衡器关联的安全组。

使用控制台更新安全组

  1. 打开亚马逊EC2控制台，网址为https://console.aws.amazon.com/ec2/。

  2. 在导航窗格中，选择负载均衡器。

  3. 选择负载均衡器。

  4. 在安全性选项卡上，选择编辑。

  5. 要将一个安全组与负载均衡器关联，请选择此安全组。要删除安全组关联，请选择安全组的 X 图标。

  6. 选择 Save changes（保存更改）。

要使用更新安全组 Amazon CLI

使用set-security-groups命令。