VPCのインスタンスからELBに面したインターネットに接続します

Question

インターネットに接続しているV2 ELBを持っています。私のラップトップから接続すると、リクエストはVPC内のインスタンスにルーティングされます。しかし、同じVPC内の別のインスタンスから接続しようとすると、セキュリティグループのファイアウォールルールによって接続がブロックされます。

VPCのインスタンスをELBに接続できる唯一の方法は、世界にhttpsポート（443）を開くことです。

私は間違っていますか？

• インターネットフェーシング、V2（ない古典ELB）
• VPC：VPC-AAA
• AZS：サブネット、サブネットB

ELB（https://elb.domain.com）は、以下ATTRSを有します

• リスナー：443 - > 8080インスタンスのポート
• ソースセキュリティグループ：私の-VPC-ELB、インバウンドルール：
  • 443、ソース：1.2.3.170/32（私のラップトップIP）
  • 443、ソース：SG-
  • 443、ソース（私のVPCのインスタンスは、カントが接続されていることをSGの名前は、です）私のラップトップから<CIDR of vpc-aaa, 1.2.0.0/16>

私はhttps://elb.domain.comに置くことができ、物事はうまく動作します。

私は今https://elb.domain.comに接続できない次attrsにして別のインスタンスを持っている：

• サブネットID：サブネット
• セキュリティグループ：SG-

はなぜ443, source: sg-aのELBセキュリティグループルールは接続を許可していませんか？なぜ私はELBセキュリティグループの443の受信 "すべてのトラフィック"を許可するのですか？

Answer 1

VPC内のインスタンスは、パブリック向きのロードバランサに接続すると、常にVPCを終了し、パブリックIPから戻ってきます。このシナリオでは、セキュリティグループによるインバウンドトラフィックをロックする方法はありません。

ELBに接続しようとしているVPCインスタンスがパブリックIPを必要としない場合は、ソースがVPC NATゲートウェイのものであることを許可するインバウンドルールをELBに設定するだけです。

パブリックIPが必要な場合は、AWS VPCパブリックIP範囲を指定する必要があります。また、EIPを使用する場合は、EIPを指定できます。