如何为VPC中Elastic Beanstalk的EC2实例设置私有静态IP？

针对EB实例部署后私有IP变更导致VPN访问受限的问题，有两种可靠的解决方式：

方案一：绑定弹性网卡（ENI）固定私有IP #

这是最直接的方式，通过将带有固定私有IP的弹性网卡附加到EB实例上，确保每次部署后新实例都能继承这个IP：

• 1. 在你的VPC中创建一个弹性网卡，手动指定一个VPN防火墙允许的私有IP（需确保该IP未被VPC的DHCP分配池占用）
• 2. 给EB环境的实例IAM角色添加权限：允许执行ec2:AttachNetworkInterface、ec2:DescribeNetworkInterfaces操作
• 3. 在EB应用的.ebextensions目录下创建配置文件（比如01-attach-eni.config），内容如下：

commands:
  attach_eni:
    command: |
      aws ec2 attach-network-interface --network-interface-id eni-xxxxxx --instance-id $(curl -s http://169.254.169.254/latest/meta-data/instance-id) --device-index 1

• 4. 注意：弹性网卡只能附加到同一可用区的实例，若EB环境是多可用区部署，需为每个可用区创建对应的ENI并在配置中区分；若无需高可用，可将EB环境改为单可用区部署

方案二：用NAT网关做流量中转 #

如果不想绑定ENI，可通过NAT网关统一出口IP，让VPN防火墙只开放NAT网关的私有IP：

• 1. 在VPC的私有子网中创建NAT网关，分配一个固定的私有IP（选择VPN允许的IP段内的地址）
• 2. 修改EB实例所在子网的路由表，添加路由规则：将访问第三方VPN的目标网段流量指向该NAT网关
• 3. 配置VPN防火墙允许NAT网关的私有IP访问即可
• 优势：无需修改EB实例配置，不管EB如何部署，流量都从固定的NAT网关IP出去，适配多可用区的EB环境

内容的提问来源于stack exchange，提问作者Lahiru Supun