Como anexar instâncias de backend do EC2 com endereços IP privados ao meu balanceador de carga voltado para a Internet no ELB?

Breve descrição

Se quiser conectar instâncias de backend do Amazon EC2 em sub-redes privadas, crie sub-redes públicas nas mesmas Zonas de Disponibilidade. Em seguida, associe essas sub-redes públicas ao seu balanceador de carga.

Observação: seu balanceador de carga estabelece uma conexão privada com o destino. Para baixar softwares ou patches de segurança provenientes da internet, utilize uma regra de gateway NAT na tabela de rotas da instância de destino, assim permitirá o acesso à Internet.

Resolução

Antes de começar, identifique a Zona de Disponibilidade de cada instância do EC2 que planeja registrar com o balanceador de carga.

Crie sub-redes públicas para suas instâncias do EC2 de backend

A fim de criar sub-redes que sejam públicas para instâncias de backend do EC2, conclua as seguintes etapas:

1. Crie uma sub-rede pública em cada Zona de Disponibilidade em que suas instâncias de backend estão localizadas. Caso tenha mais de uma sub-rede privada na mesma Zona de Disponibilidade, por favor, crie somente uma sub-rede pública para essa Zona.
2. Confirme se cada sub-rede pública possui um bloco CIDR com uma máscara de bits de pelo menos /27 (por exemplo, 10.0.0.0/27).
3. Confirme se cada sub-rede possui ao menos oito endereços IP livres.
   Por exemplo, uma sub-rede pública (sub-rede do Application Load Balancer) precisará de um bloco CIDR com uma máscara de bits de pelo menos /27:
   Sub-rede pública na Zona de Disponibilidade A: 10.0.0.0/24
   Sub-rede privada na Zona de Disponibilidade A: 10.1.0.0/24
   Sub-rede pública na Zona de Disponibilidade B: 10.2.0.0/24
   Sub-rede privada na Zona de Disponibilidade B: 10.3.0.0/24

Configure seu balanceador de carga

A fim de configurar seu balanceador de carga, conclua as seguintes etapas:

1. Primeiro, abra o console do Amazon EC2.
2. No painel de navegação, em Balanceamento de carga, selecione Balanceadores de carga. Em seguida, selecione seu balanceador de carga.
3. Agora, associe as sub-redes públicas ao seu balanceador de carga. Para mais informações, consulte:
   Configure seu balanceador de carga e o receptor para o Application Load Balancer
   Configure seu balanceador de carga e o receptor para o Network Load Balancer
   Configure sub-redes do seu Classic Load Balancer para o seu próprio Classic Load Balancer
4. Registre as instâncias de backend com seu balanceador de carga. Para mais informações, consulte:
   Registre os destinos com o seu Application Load Balancer
   Registre os destinos para o seu Network Load Balancer
   Registre instâncias com o seu Classic Load Balancer

Configure o grupo de segurança e a ACL de rede do seu balanceador de carga

Analise as configurações recomendadas de grupos de segurança como Application Load Balancers ou Classic Load Balancers. Verifique também se:

• Seu balanceador de carga possui portas de receptor e grupos de segurança que permitem o acesso às portas.
• O grupo de segurança da sua instância permita tráfego nas portas de receptor da instância e nas portas de verificação de integridade do balanceador de carga.
• O grupo de segurança do balanceador de carga permita tráfego de entrada proveniente do cliente.
• O grupo de segurança do balanceador de carga permita tráfego de saída para as instâncias e a porta de verificação de integridade.

Adicione uma regra no grupo de segurança da instância para permitir o tráfego proveniente do grupo que está atribuído ao balanceador de carga. Por exemplo, há os seguintes parâmetros:

• O grupo de segurança do balanceador de carga é: sg-1234567a
• Regra de entrada: HTTP TCP 80 0.0.0.0/0
• O grupo de segurança da instância é: sg-a7654321
• Regra de entrada: HTTP TCP 80 sg-1234567a

Neste exemplo, sua regra se parecerá com a seguinte:

• Tipo: HTTP
• Protocolo: TCP
• Intervalo de portas: 80
• Origem: sg-1234567a

Analise as regras da lista de controle de acesso (ACL) da rede associadas às sub-redes que são utilizadas pelo balanceador de carga. Os seguintes métodos se aplicam tanto aos Application Load Balancers quanto aos Classic Load Balancers.

Caso esteja utilizando Network Load Balancers, consulte Solucionar problemas relacionados ao Network Load Balancer e também Grupos de segurança de destino para obter mais detalhes de configuração. Confira se o grupo de segurança da instância de backend permite o tráfego para a porta do grupo de destino a partir de:

• Endereços IP do cliente (se os destinos forem especificados pelo ID da instância)
• Ou nós do balanceador de carga (se os destinos forem especificados pelo endereço IP)

Informações relacionadas

Como funciona o Elastic Load Balancing

Grupos de segurança do Amazon EC2 para suas instâncias do EC2