如何配置AWS安全组仅允许另一区域无公网IP的VM访问

以下是3种可落地的方案，可根据你的实际场景选择：

方案1：跨区域VPC对等连接（最安全，推荐） #

• 在us-east-1 VM所在VPC和us-east-2 ALB所在VPC之间创建跨区域VPC对等连接，配置两端VPC的路由表，确保两个VPC的私有网段可互通
• 若不需要公网访问ALB，可将ALB调整为内部负载均衡类型，避免暴露公网入口
• ALB安全组入站规则直接放行该VM的固定私有IP对应的访问端口即可，精度最高

方案2：通过VM出站NAT网关的公网IP放行（配置成本最低） #

• 无公网IP的VM可正常访问互联网，说明其出站流量统一通过所在子网关联的NAT网关/NAT实例转发，先获取该NAT资源绑定的弹性公网IP（EIP）
• 直接在ALB安全组入站规则中，放行该NAT EIP的对应端口访问即可

注意：该方案需要ALB为公网类型，VM访问ALB公网域名时流量会走公网链路，安全组识别的源IP为NAT的EIP。如果同NAT下还有其他资源，可配合ALB监听器的请求头校验、身份认证等规则做二次权限限制。

方案3：前缀列表统一管理（适合多IP/后续有扩展需求的场景） #

• 在us-east-2区域创建客户管理的前缀列表，把你需要放行的源IP（VM私有IP/ NAT EIP都可）加入列表
• ALB安全组直接引用该前缀列表作为源地址即可，后续IP变更只需修改前缀列表，无需批量调整安全组规则

内容的提问来源于stack exchange，提问作者JavaHead