AWS Application Load Balancer配置咨询：请求经LB但响应走实例公网IP

嘿，这个问题我碰到过好多次了，本质是你的流量回包路径没走ALB，而是直接从EC2实例的公网IP出去了。下面给你一步步排查和解决的方法：

1. 检查EC2实例的子网与路由配置 #

• 首先确认你的EC2实例是否部署在私有子网里：如果实例在关联了互联网网关（IGW）的公有子网，并且分配了公网IP，那么实例很可能直接通过IGW回包，跳过ALB。
• 解决办法：把实例迁移到私有子网（子网路由表中0.0.0.0/0指向NAT网关而非IGW），这样实例的所有出站流量都会经过NAT网关，响应也会通过ALB返回给客户端。

2. 修正应用程序的响应配置 #

• 很多应用会硬编码自己的IP地址到响应里，或者生成跳转链接时用了实例的公网IP（比如Web服务器的server_name配置、API的回调地址设置）。
• 解决办法：
  • 修改应用配置，让它使用ALB的DNS域名作为对外的访问地址；
  • 让应用读取ALB传递的请求头（比如X-Forwarded-Host、X-Forwarded-For）来生成响应内容，而不是用实例自身的IP。

3. 验证ALB目标组的配置 #

• 确保目标组已经正确注册了你的EC2实例，并且健康检查状态正常；
• 检查实例的安全组规则：允许来自ALB安全组的入站流量（通常是80/443端口），同时实例的出站规则不要限制回包到ALB的流量；
• 如果使用HTTPS ALB，确认实例上的服务监听对应端口，并且安全组允许ALB的HTTPS流量。

4. （推荐）移除EC2实例的公网IP #

• 如果你的实例不需要直接对外提供服务，直接去掉它的公网IP，从根源上避免实例绕过ALB直接回包的可能。这样实例只能通过ALB接收请求，通过NAT网关访问外网。

内容的提问来源于stack exchange，提问作者Pavan P Gupta