从内网呼叫到公网，为什么我的安全组规则不起作用？

Question

我在SG1的私有子网中有一台服务器，我想给SG2中的公共子网中的负载均衡器打个电话。

我在允许到SG2的流量的SG1上设置了出站规则。

但是，当我添加一个规则以允许来自允许SG1入站的SG2的入站通信时，请求超时。如果我添加一个开放的规则来SG2请求工作！我也尝试过私有IP地址范围，但不起作用。

如何在负载均衡中添加正确的规则，允许来自SG1的流量，并且不将安全组公开开放？

Answer 1

我怀疑这个问题是由您连接到面向互联网的负载均衡器引起的。

正在通过DNS名称引用负载平衡器。此名称将解析为公有IP地址，因为负载均衡器可以访问互联网。

当内网中的实例访问负载均衡时，实际上是将ELB DNS名称解析为公网IP地址，因此请求实际上是离开私有网络，然后返回。这意味着" from“IP地址来自私有实例的公共IP地址，而不是其私有IP地址。安全组仅期望私有实例的内网IP地址，因此无法识别传入流量。

如果负载均衡器仅以这种方式使用，则应将其创建为内部负载均衡器，而不是公共的。还可以创建两个负载均衡器(一个面向Internet，一个仅限内部)。