基于AWS Fargate的Hub-Spoke架构跨VPC流量转发方案咨询

我当前采用Hub-Spoke架构（配图：），需求是将Hub中Network Load Balancer（NLB）的流量转发至Spoke中的Internal Application Load Balancer（Internal ALB），以实现多可用区运行Fargate任务。

我尝试了以下方法但未解决问题：

• 创建指向Internal ALB内网IP的目标组，未成功
• 尝试不同类型的负载均衡器
• 发现仅能将同VPC内的LB添加至目标组
• 检查路由配置无问题

请问是否存在无需Lambda转发流量的替代解决方案？

方案1：基于AWS Transit Gateway（TGW）的跨VPC流量转发（适配Hub-Spoke架构） #

1. 验证网络连通性：确认Hub VPC与所有目标Spoke VPC已关联至同一Transit Gateway，且双方路由表已配置对应条目，允许NLB所在子网与Internal ALB所在子网的双向流量通行。
2. 创建IP类型目标组：在Hub的NLB所属区域创建IP类型目标组，目标类型选择IP，直接添加Spoke VPC中Internal ALB的内网IP地址（需确保这些IP在TGW的路由可达范围内）。
3. 配置NLB转发规则：将NLB的监听器指向上述IP类型目标组，同时更新安全组规则，允许Hub NLB所在安全组与Spoke Internal ALB所在安全组的目标端口通信。

方案2：VPC对等连接（适用于小规模Hub-Spoke场景） #

如果仅涉及少量Spoke VPC，可采用VPC对等连接实现跨VPC访问：

1. 建立Hub VPC与目标Spoke VPC的对等连接并完成双方的连接接受配置。
2. 更新Hub和Spoke VPC的路由表，添加指向对方VPC CIDR段的路由，下一跳设置为对等连接ID。
3. 重复方案1的目标组与NLB转发规则配置步骤。

核心注意事项 #

• 必须确保Internal ALB的安全组允许来自Hub VPC NLB所在子网的流量（对应业务端口）。
• IP类型目标组支持跨VPC目标，这是突破“仅同VPC LB可加入目标组”限制的关键，前提是VPC间已通过TGW或对等连接实现网络连通。
• 若Fargate任务直接挂载到Internal ALB，需确认任务所在子网的路由表配置了回传Hub NLB的路径。

内容的提问来源于stack exchange，提问作者DK_kbc