Wie füge ich Backend-EC2-Instances mit privaten IP-Adressen an meinen mit dem Internet verbundenen Load Balancer in ELB an?

Kurzbeschreibung

Um Amazon EC2-Backend-Instances in privaten Subnetzen anzuhängen, erstelle öffentliche Subnetze in denselben Availability Zones. Ordne dann die öffentlichen Subnetze dem Load Balancer zu.

Hinweis: Der Load Balancer stellt privat eine Verbindung zu seinem Ziel her. Um Software oder Sicherheitspatches aus dem Internet herunterzuladen, verwende eine NAT-Gateway-Regel in der Routing-Tabelle der Ziel-Instance, um den Internetzugang zu ermöglichen.

Lösung

Bevor du beginnst, identifiziere die Availability Zone jeder EC2-Instance, die du beim Load Balancer registrieren möchtest.

Öffentliche Subnetze für die EC2-Backend-Instances erstellen

Gehe wie folgt vor, um öffentliche Subnetze für EC2-Backend-Instances zu erstellen:

1. Erstelle ein öffentliches Subnetz in jeder Availability Zone, in der sich die Backend-Instances befinden. Wenn du mehr als ein privates Subnetz in derselben Availability Zone hast, erstelle nur ein öffentliches Subnetz für diese Availability Zone.
2. Bestätige, dass jedes öffentliche Subnetz über einen CIDR-Block mit einer Bitmaske von mindestens /27 verfügt (z. B. 10.0.0.0/27).
3. Bestätige, dass jedes Subnetz über mindestens acht freie IP-Adressen verfügt.
   Das öffentliche Subnetz (Application Load Balancer-Subnetz) erfordert beispielsweise einen CIDR-Block mit einer Bitmaske von mindestens /27:
   Öffentliches Subnetz in Availability Zone A: 10.0.0.0/24
   Privates Subnetz in Availability Zone A: 10.1.0.0/24
   Öffentliches Subnetz in Availability Zone B: 10.2.0.0/24
   Privates Subnetz in Availability Zone B: 10.3.0.0/24

Den Load Balancer konfigurieren

Gehe wie folgt vor, um den Load Balancer zu konfigurieren:

1. Öffne die Amazon-EC2-Konsole.
2. Wähle im Navigationsbereich unter Lastausgleich die Option Load Balancer aus. Wähle dann den Load Balancer aus.
3. Ordne die öffentlichen Subnetze dem Load Balancer zu. Weitere Informationen findest du unter den folgenden Punkten:
   Den Load Balancer und Listener konfigurieren für Application Load Balancer
   Den Load Balancer und Listener konfigurieren für Network Load Balancer
   Subnetze für den Classic Load Balancer konfigurieren für Classic Load Balancer
4. Registriere die Backend-Instances im Load Balancer. Weitere Informationen findest du unter den folgenden Punkten:
   Ziele im Application Load Balancer registrieren
   Ziele für den Network Load Balancer registrieren
   Instances im Classic Load Balancer registrieren

Sicherheitsgruppe und die Netzwerk-ACL des Load Balancers konfigurieren

Überprüfe die Sicherheitsgruppeneinstellungen für Application Load Balancer oder Classic Load Balancer. Überprüfe folgende Elemente:

• Der Load Balancer verfügt über offene Listener-Ports und Sicherheitsgruppen, die den Zugriff auf die Ports ermöglichen.
• Die Sicherheitsgruppe für Ihre Instance lässt Datenverkehr auf Instance-Listener-Ports und Health Check-Ports vom Load Balancer zu.
• Die Load-Balancer-Sicherheitsgruppe lässt eingehenden Datenverkehr vom Client zu.
• Die Load-Balancer-Sicherheitsgruppe ermöglicht ausgehenden Datenverkehr zu den Instances und zum Zustandsprüfungs-Port.

Füge der Instance-Sicherheitsgruppe eine Regel hinzu, um Datenverkehr von der Sicherheitsgruppe zuzulassen, die dem Load Balancer zugewiesen ist. Zum Beispiel hast du folgende Parameter:

• Load-Balancer-Sicherheitsgruppe: sg-1234567a
• Regel für eingehenden Datenverkehr: HTTP TCP 80 0.0.0.0/0
• Instance-Sicherheitsgruppe: sg-a7654321
• Regel für eingehenden Datenverkehr: HTTP TCP 80 sg-1234567a

In diesem Beispiel sieht die Regel dann ähnlich wie folgt aus:

• Typ: HTTP
• Protokoll: TCP
• Portbereich: 80
• Quelle: sg-1234567a

Überprüfe die Network Access Control List (ACL)-Regeln, die den Subnetzen zugeordnet sind, die vom Load Balancer verwendet werden. Die Regeln gelten sowohl für Application Load Balancers als auch für Classic Load Balancers.

Wenn du Network Load Balancer verwendest, findest du Konfigurationsdetails unter Fehlerbehebung bei den Network Load Balancer- und Ziel-Sicherheitsgruppen. Bestätige, dass die Sicherheitsgruppe der Backend-Instance Datenverkehr zum Port der Zielgruppe zulässt von:

• Client-IP-Adressen (wenn Ziele durch Instance-ID angegeben werden)
• Load Balancer-Knoten (wenn Ziele durch eine IP-Adresse angegeben werden)

Ähnliche Informationen

Wie Elastic Load Balancing funktioniert

Amazon EC2-Sicherheitsgruppen für die EC2-Instances