如何通过VPC Peering实现Auto Scaling Group下跨VPC私有实例通信？

针对你的场景，推荐以下几种适配ASG动态扩缩、低成本的私有通信方案：

方案1：内部负载均衡器（Internal ELB）+ VPC Peering（首选） #

这是最直接且易维护的方案，用内部ELB的私有IP作为固定访问入口，自动路由到ASG的动态实例，无需关注实例IP变化。

配置步骤： #

• 确认VPC Peering连接已生效，两边VPC的路由表均添加了对方VPC的CIDR段指向Peering连接。
• 将VPC A中的ELB修改为内部型（Internal）：
  • 确保ELB部署在VPC A的私有子网内，关联绑定ASG实例的目标组。
  • 开启VPC Peering的私有DNS解析（在Peering连接设置中启用"Allow DNS resolution from peer VPC"），这样VPC B的实例可直接通过ELB的私有域名访问，无需记忆私有IP。
• 配置安全组规则：
  • VPC A的内部ELB安全组：允许VPC B的CIDR段访问服务端口（如80/443）。
  • VPC B的私有实例安全组：允许出站访问VPC A内部ELB的IP/端口。
• VPC B的实例直接通过内部ELB的私有IP或私有域名发起请求，流量完全走VPC Peering私有链路，替代原公网路径。

方案2：AWS PrivateLink（VPC端点服务） #

如果需要更安全的跨账户/跨区域私有访问，或不想依赖VPC Peering的路由配置，PrivateLink是更可靠的选择，流量全程在AWS私有网络内传输，无需暴露双方VPC的CIDR。

配置步骤： #

• 在VPC A中创建VPC端点服务：
  • 选择Network Load Balancer（NLB）作为服务目标（NLB对PrivateLink支持最优），将NLB关联到ASG的目标组。
  • 配置服务允许的VPC（指定VPC B的ID），确保仅授权VPC可访问。
• 在VPC B中创建VPC端点，关联到VPC A的端点服务。
• 配置安全组：
  • VPC A的NLB安全组：允许VPC B的VPC端点CIDR访问服务端口。
  • VPC B的私有实例安全组：允许出站访问VPC端点的IP/端口。
• VPC B的实例通过VPC端点的私有IP或DNS名称访问服务，全程私有链路，不受ASG扩缩影响。

方案3：Route 53私有托管区+ASG生命周期钩子（自定义方案） #

若不想使用ELB，可通过动态更新DNS记录适配ASG实例变化，但需自定义开发维护，适合特殊场景。

配置步骤： #

• 在Route 53创建私有托管区，同时关联VPC A和VPC B（需开启VPC Peering的私有DNS解析）。
• 给VPC A的ASG添加生命周期钩子：
  • 实例启动时，触发Lambda函数将实例私有IP添加到Route 53的多值/加权轮询记录集。
  • 实例终止时，触发Lambda函数从记录集中移除对应IP。
• VPC B的实例通过私有托管区的域名访问，Route 53会返回当前运行的ASG实例IP，实现动态访问。

关键问题解答：能否通过VPC Peering访问VPC A的ELB？ #

可以，但必须使用内部ELB：

• 公网ELB的DNS默认返回公网IP，VPC Peering无法路由公网IP流量；即使公网ELB有私有IP，官方不推荐通过私有IP访问，存在功能限制。
• 内部ELB的IP是VPC A的私有IP，VPC Peering路由规则可直接覆盖，配合私有DNS解析，能实现跨VPC私有访问。

内容的提问来源于stack exchange，提问作者Mubasher