AWS环境下example.com基于路径的地理位置路由方案咨询

首先明确核心限制：Global Accelerator（GA）是四层（TCP/UDP）服务，无法识别HTTP路径，因此直接通过GA实现路径路由是不可能的。你的配置无效正是因为GA只能基于终端节点组的规则（地理位置、权重等）转发流量，无法区分HTTP路径。以下是两种可行的架构调整方案：

方案一：CloudFront + Global Accelerator 组合（推荐） #

利用CloudFront的七层路由能力处理路径匹配，同时保留GA的全球低延迟接入能力：

1. 创建CloudFront分发：
   • 设置默认原点为你的Global Accelerator域名（保留原有的地理位置就近路由逻辑）
   • 添加两个自定义缓存行为：
     • 路径模式设为/uk/*，原点选择伦敦区域的ALB域名
     • 路径模式设为/in/*，原点选择孟买区域的ALB域名
   • 若你的Web应用是动态内容，将CloudFront缓存策略设置为不缓存动态请求
2. 配置权限：
   • 在伦敦和孟买的ALB安全组中，添加CloudFront官方IP段（或使用AWS WAF的CloudFront IP集），允许CloudFront的请求访问
3. 更新Route53记录：
   • 将example.com的A/AAAA记录指向CloudFront分发的域名，而非原GA的IP

这样配置后：

• 访问example.com/uk会被CloudFront直接路由到伦敦ALB
• 访问example.com/in会被路由到孟买ALB
• 其他路径的请求会通过GA按地理位置转发到就近的服务器
• 你通过VPN连接伦敦区域后，可直接访问伦敦ALB/EC2的私网地址，不受前端路由影响

方案二：中心区域ALB 做七层路由代理 #

如果不想使用CloudFront，可以在一个中心区域（如新加坡或弗吉尼亚）部署一台公网ALB，作为统一入口处理路径路由：

1. 部署中心ALB：
   • 在中心区域创建ALB，配置HTTP/HTTPS监听器
   • 为ALB添加三条转发规则：
     • 规则1：路径匹配/uk/*，转发到伦敦区域的ALB（可使用公网地址，或通过VPC peering用私网地址）
     • 规则2：路径匹配/in/*，转发到孟买区域的ALB
     • 规则3：默认规则，基于客户端IP的地理位置转发到就近的ALB（利用ALB的地理匹配规则，或结合WAF地理条件）
2. 更新GA配置：
   • 将GA的终端节点组改为指向这台中心ALB，保留GA的全球加速能力
3. 路由与权限配置：
   • Route53继续指向GA的IP
   • 确保中心ALB的安全组允许公网访问，伦敦/孟买ALB允许中心ALB所在区域的IP访问

关键注意事项 #

• 跨区域转发时，如果使用私网地址，需要配置VPC peering或AWS Transit Gateway打通区域间VPC
• 若Web应用使用HTTPS，需确保CloudFront/中心ALB配置对应的SSL证书（可使用AWS Certificate Manager免费证书）
• 测试路径路由时，需清除本地缓存或使用无痕浏览器，避免旧缓存影响结果

内容的提问来源于stack exchange，提问作者sreekanth ramachandran