AWS同VPC下EC2访问ECS是否需要配置跨安全组访问规则？

结论 #

仅需要在ECS关联的安全组2添加入方向允许安全组1访问TCP 80端口的规则，不需要开放443端口。 #

原因说明 #

• 流量走向逻辑：公网用户的请求先到EC2的80/443端口（安全组1已放通），Nginx接收请求后作为客户端，主动向ECS的内部ELB端点发起代理请求，该请求的源为EC2的私网IP，目的端口为ECS服务的监听端口，根据你给出的配置，ECS仅开放80端口提供服务，因此Nginx到ECS的通信端口仅为80。
• 你当前Nginx配置中return 301 https://$host$request_uri;规则是将公网用户的HTTP请求重定向到HTTPS，该跳转规则作用于用户和EC2之间的通信，和EC2与ECS的内部通信无关，因此ECS侧不需要放通443端口。
• 安全组规则建议直接引用安全组1的ID作为源，比填写EC2固定私网IP更灵活，后续如果扩容同安全组的代理节点，无需重复修改安全组2的规则。

额外配置提示 #

你当前贴出的Nginx 80端口监听块中同时配置了proxy_pass和return 301，return指令优先级更高会导致proxy_pass完全不生效，建议将代理逻辑迁移到监听443的server块中，80端口块仅保留重定向逻辑即可。

# 调整后的示例配置
# 80端口仅做跳转
server {
    listen 80 default_server;
    server_name _;
    return 301 https://$host$request_uri;
}
# 443端口处理代理逻辑
server {
    listen 443 ssl;
    server_name myproxy.mydomain.com;
    # ssl证书配置省略
    proxy_pass          {{ internal_ecs_elb_endpoint }};
    proxy_read_timeout  60s;
    proxy_redirect      {{ internal_ecs_elb_endpoint }} myproxy.mydomain.com;
}

内容的提问来源于stack exchange，提问作者Miantian