基于源IP的AWS Network Load Balancer流量路由方案咨询

核心配置思路 #

NLB支持在TCP/TLS监听器上配置基于源IP（CIDR范围）的转发规则，同时可满足TLS协议需求（支持TLS终止或透传），完全适配你的业务场景。

具体配置步骤 #

• 创建目标组：先创建目标组A1、A2、B1、B2，分别关联对应的后端实例或服务。
• 配置TLS监听器：
  1. 选择TLS协议（常用端口443），上传SSL证书（ACM证书或自定义证书）实现TLS终止；若需后端处理加密，可选择TCP协议由后端负责TLS逻辑。
  2. 为监听器添加转发规则：
     • 规则1：匹配条件选源IP，填入IP A的CIDR（单个IP写x.x.x.x/32），动作设置为转发到目标组A1和A2（NLB支持单规则转发至多目标组）。
     • 规则2：匹配条件选源IP，填入IP B的CIDR，动作设置为转发到目标组B1和B2。
     • 可选默认规则：处理不符合上述源IP的请求，比如转发至默认目标组或直接拒绝。
• 验证配置：从IP A、IP B分别发起请求，检查流量是否正确路由至对应目标组；同时用curl -v https://your-nlb-domain测试TLS连接是否正常。

注意事项 #

• 源IP匹配支持单个IP或CIDR范围，需确保地址格式准确。
• 若需保留客户端源IP到后端，需在EC2类型目标组的属性中启用Preserve client IP addresses选项。
• 规则优先级需合理设置，确保单个IP这类更具体的规则优先级高于宽泛的CIDR规则。

内容的提问来源于stack exchange，提问作者Umar