Publicați o aplicație web/API? Dacă da, probabil că ar trebui să utilizați un echilibrator de încărcare a aplicației, mai degrabă decât un echilibrator de încărcare de rețea. NLB-urile sunt de obicei folosite pentru aplicații non-http(e), le puteți folosi cu http(e), dar ALB-urile tind să fie mai potrivite.
Considerații de proiectare
Vă sugerez să vă gândiți dacă aveți într-adevăr nevoie de un IP static. Unele sisteme vechi sau încorporate ar putea avea nevoie de el, dar majoritatea sunt de acord cu o adresă DNS. Dacă într-adevăr aveți nevoie de un IP static, îl puteți folosi una dintre aceste tehnici (sau altele pe care le găsiți pe Google) pentru a da unui ALB un IP static, AWS Global Accelerator ar face-o, dar nu sunt sigur că este o soluție bună pentru dvs. De asemenea, ar trebui să luați în considerare disponibilitatea ridicată.
În ceea ce privește IP-urile statice pentru lista albă, ați putea lua în considerare autentificarea fie cu AWS Cognito integrat cu ALB (cel mai bun), fie în interiorul containerului. De obicei, ne federam cu Azure AD, dar puteți defini utilizatori/grupuri în Cognito. Traficul utilizatorilor către ALB ajunge la containerul/serverul țintă numai dacă Cognito autorizează traficul.
Recomandare principală: AWS ALB integrat cu AWS Cognito pentru autentificare, grup de securitate în jurul ALB dacă doriți, dar nu este necesară înscrierea în lista albă.
Întrebare originală
ALB-urile au grupuri de securitate. Echilibratoarele de sarcină de rețea nu. Un NLB este invizibil pentru trafic, așa că puneți un grup de securitate în jurul resursei (containerului) mai degrabă decât al echilibrului de încărcare.
Opțiuni de înscriere în lista albă IP ALB:
- Puteți lista albă accesul la un ALB cu un grup de securitate, dar nu puteți lista neagră cu un grup de securitate. Există un număr maxim de reguli, dar fiecare ALB poate avea, probabil, mai multe SG atașate - deși aveți grijă, deoarece poate afecta performanța. Aceasta este recomandarea mea secundară pentru tine dacă nu vrei să folosești Cognito.
- Puteți lista albă sau lista neagră cu Listele de control al accesului la rețea (NACL)
- Puteți face ceva în interiorul containerului cu un firewall local, dar nu sugerez asta
Opțiuni de înscriere în lista albă IP NLB:
- Grup de securitate în jurul containerului ECS
- NACL în jurul subrețelelor
