如何在Elastic Beanstalk环境中使用单一预注册IP发起第三方API请求？

针对你在默认VPC中配置了ALB和Auto Scaling Group的Elastic Beanstalk环境，需要让所有EC2实例通过固定IP访问第三方API的需求，以下是可行的解决方案：

方案一：使用NAT网关（推荐，托管式高可用） #

这是AWS官方推荐的方式，无需维护底层实例，自带高可用特性：

1. 分配固定弹性IP（EIP）
   在AWS控制台的EC2服务中，申请一个弹性IP，这个IP就是你需要提供给第三方供应商注册的固定出站IP。
2. 创建NAT网关
   在默认VPC的公有子网中创建NAT网关，将刚才申请的弹性IP关联到该网关上。
3. 调整VPC路由表
   找到Elastic Beanstalk实例所在子网对应的路由表，将路由表中0.0.0.0/0（默认路由）的目标从互联网网关（IGW）修改为刚创建的NAT网关。
4. 调整Elastic Beanstalk子网配置
   • 如果你的EB实例当前部署在公有子网，需要修改环境配置，将实例迁移到私有子网（确保ALB仍部署在公有子网，负责处理入站流量）。
   • 私有子网中的实例不会分配公网IP，所有出站流量会自动通过NAT网关转发，源IP就是NAT网关绑定的弹性IP。

方案二：使用NAT实例（自维护，适合低成本场景） #

如果需要更低的成本且能接受自行维护实例，可选择NAT实例：

1. 创建NAT实例
   选择AWS提供的NAT实例AMI（或自行配置普通EC2实例开启IP转发），部署在默认VPC的公有子网中，为其分配弹性IP。
2. 启用IP转发
   对NAT实例执行以下命令开启IP转发：

   echo 1 > /proc/sys/net/ipv4/ip_forward
   

   并修改/etc/sysctl.conf文件，添加net.ipv4.ip_forward = 1确保重启后生效。
3. 配置路由表
   同方案一，将EB实例所在子网的默认路由（0.0.0.0/0）指向NAT实例的私有IP。
4. 安全组配置
   确保NAT实例的安全组允许来自EB实例子网的所有出站流量，同时允许NAT实例访问第三方API的目标端口。

关键注意事项 #

• 无论使用哪种方案，都要确保EB实例的安全组允许向NAT网关/NAT实例发起流量。
• 绑定给NAT网关/实例的弹性IP不要随意释放或更换，否则需要重新向第三方供应商注册新IP。
• 若EB实例迁移到私有子网，如需远程访问（如SSH），需通过堡垒机（Bastion Host）或AWS Systems Manager Session Manager实现，无法直接通过公网IP访问实例。

内容的提问来源于stack exchange，提问作者Gipyo.Choi