Network Load Balancer安全组限制SG3访问失效问题咨询

核心原因 #

问题出在AWS安全组的规则特性与NLB的四层流量透传机制的组合影响：

1. AWS安全组中，以其他安全组作为源的规则仅对同VPC内的私有IP流量生效，无法识别来自公网IP的流量——哪怕这个公网IP属于关联目标安全组的实例。
2. NLB作为四层负载均衡，默认会透传客户端的源IP：当SG3关联的公网EC2通过公网访问NLB时，NLB收到的入站流量源IP是该EC2的公网IP，而非其私有IP。此时SG2的入站规则若设置为「允许SG3安全组访问3128端口」，由于公网IP不在SG3安全组的私有IP范围内，规则无法匹配，流量被拦截。

而你之前使用ALB时无此问题，是因为ALB作为七层负载均衡，默认会替换源IP为自身的负载均衡器IP，同时如果你的SG3实例与ALB在同VPC内，访问ALB时会走内网路由，源IP为实例私有IP，此时安全组的跨组规则可以正常匹配。

可行解决方案 #

• 直接指定公网IP作为源：修改SG2的入站规则，将3128端口的源设置为SG3关联EC2的公网IP/弹性IP（或其所在的公网IP段），而非SG3安全组。
• 改用内网访问NLB：若SG3的EC2与NLB在同一VPC，让EC2通过NLB的内网IP发起请求，此时源IP为EC2的私有IP，SG2中「允许SG3安全组」的规则即可正常生效。
• 内网互联跨VPC实例：若SG3的EC2与NLB分属不同VPC，可配置VPC对等连接或中转网关，让EC2通过内网访问NLB，此时源IP为私有IP，安全组规则可正常匹配。

内容的提问来源于stack exchange，提问作者Aurel Drejta