TCPサーバーへのネットワークロードバランサに

Question

私はカスタムTCPサーバー（SFTPのタイプ）のための単純なこと（私はと思われるもの）やろうとしている：

トラフィックがポート上で来ることを許可2222を経由してaws ネットワークロードバランサに接続し、プライベートサブネット内のインスタンスにルーティングします。

私はアプリケーションロードバランサで同じことをしました。

しかし、ネットワークのバージョンが動作しません。

これも可能かどうかと思いますか？自分のパブリックサブネットにインスタンスが存在しないと言っているネットワークロードバランサを作成すると警告が表示されます（これはすべてtrueです...すべてのインスタンスがプライベートサブネットにあります）。しかし、アプリケーションの同じサブネットを持つロードバランサを作成すると、このエラーが発生することはありません。

ここに何か不足していますか？

（私はまた、すべての関連するセキュリティグループで2222ポート開いた。私は私のサーバー要塞ホストを使用しても問題にpingを実行することはできませんので、私はそれを実行している知っている。）

できネットワークロードバランサへの直接のトラフィックプライベートサブネット内のインスタンス？

Answer 1

NLBは、ALBやクラシックELBのように「隠されたEC2インスタンス」ではなく、ネットワークインフラストラクチャの動作を変更するように見えるため、別のネットワーク構成が必要です。

他のロードバランサ製品とは異なり、外部のNLBと連携するためにインスタンスがインターネットゲートウェイを指す既定のルートを持つパブリックサブネット上にある必要があります。バランサにはインスタンス自身のIPアドレスがないため、「バランサの内部IP」であり、インスタンスはトラフィックがクライアントIPから直接来ると見なします。

Answer 2

だから誰もが返答したことは絶対に正しいです。

ソリューションは、単に次のように順番に私のプライベートサブネットに関連付けられているネットワークインタフェースに関連付けられているセキュリティグループに変更しました：

2222 0.0.0.0/0

を私は以前としてそれを持っていました（10.0.0.0/16が私のVPCである）

2222 10.0.0.0/16

とクライアントがどこから来る可能性があるので、これは動作しません、彼らはネットワークの負荷ので、私のネットワークから来ていませんバランサーはclを過ぎ去るバックエンドインフラストラクチャに直接接続します。

この単純な変更により、すぐに問題が解決されました。