如何将使用私有 IP 地址的后端 EC2 实例附加到 ELB 中面向互联网的负载均衡器？

简短描述

要附加位于私有子网中的后端 Amazon EC2 实例，请在相同的可用区中创建公有子网。然后，将这些公有子网与您的负载均衡器关联。

**注意：**您的负载均衡器会与其目标建立私密连接。要从互联网下载软件或安全补丁，请对目标实例的路由表](https://docs.aws.amazon.com/vpc/latest/userguide/nat-gateway-basics.html)使用 NAT 网关规则[，以允许互联网接入。

解决方法

在开始之前，请确定您计划向负载均衡器注册的每个 EC2 实例所在的可用区。

为您的 EC2 后端实例创建公有子网

要为 EC2 后端实例创建公有子网，请完成以下步骤：

1. 在您的后端实例所在的每个可用区中创建公有子网。如果有多个私有子网在同一个可用区，则为该可用区仅创建一个公有子网。
2. 确认每个公有子网都有一个位掩码至少为 /27（例如 10.0.0.0/27）的 CIDR 块。
3. 确认每个子网至少有八个可用的 IP 地址。
   例如，公有子网（应用程序负载均衡器子网）需要位掩码至少为 /27 的 CIDR 块：
   可用区 A 中的公有子网： 10.0.0.0/24
   可用区 A 中的私有子网： 10.1.0.0/24
   可用区 B 中的公有子网： 10.2.0.0/24
   可用区 B 中的私有子网： 10.3.0.0/24

配置您的负载均衡器

要配置您的负载均衡器，请完成以下步骤：

1. 打开 Amazon EC2 控制台。
2. 在导航窗格中的 Load Balancing（负载均衡）下，选择 Load Balancers（负载均衡器）。然后，选择您的负载均衡器。
3. 将公有子网与您的负载均衡器关联。有关详细信息，请参阅以下内容：
   配置负载均衡器和侦听器（应用程序负载均衡器）
   配置负载均衡器和侦听器（网络负载均衡器）
   为经典负载均衡器配置子网（经典负载均衡器）
4. 将后端实例注册到您的负载均衡器。有关详细信息，请参阅以下内容：
   将目标注册到应用程序负载均衡器
   将目标注册到网络负载均衡器
   将实例注册到经典负载均衡器

配置您的负载均衡器的安全组和网络 ACL

查看应用程序负载均衡器或经典负载均衡器的安全组设置。检查以下事项：

• 您的负载均衡器带有开放式侦听器端口和允许接入端口的安全组。
• 您的实例的安全组允许来自负载均衡器的实例侦听器端口和运行状况检查端口上的流量。
• 负载均衡器安全组允许来自客户端的入站流量。
• 负载均衡器安全组允许流向实例和运行状况检查端口的出站流量。

对实例安全组添加规则，以允许来自分配给负载均衡器的安全组的流量。例如，您具有以下参数：

• 负载均衡器安全组：sg-1234567a
• 入口规则： HTTP TCP 80 0.0.0.0/0
• 实例安全组：sg-a7654321
• 入口规则： HTTP TCP 80 sg-1234567a

在此示例中，您的规则类似于以下：

• 类型： HTTP
• 协议： TCP
• 端口范围： 80
• 源： sg-1234567a

查看与负载均衡器所使用的子网关联的网络访问控制列表 (ACL) 规则。这些规则适用于应用程序负载均衡器和经典负载均衡器。

如果您使用网络负载均衡器，请查看对网络负载均衡器进行故障排除和目标安全组，以获取配置详细信息。确认后端实例安全组允许以下任一来源的流量流向目标组端口：

• 客户端 IP 地址（当目标通过实例 ID 指定时）
• 负载均衡器节点（当目标通过 IP 地址指定时）

相关信息

弹性负载均衡的工作原理

EC2 实例的 Amazon EC2 安全组