Grupos de seguridad para el Equilibrador de carga de aplicación
El grupo de seguridad del Equilibrador de carga de aplicación controla el tráfico al que se le permite llegar y dejar el equilibrador de carga. Debe asegurarse de que el equilibrador de carga pueda comunicarse con los destinos registrados en el puerto del oyente y en el puerto de comprobación de estado. Cada vez que agregue un oyente al equilibrador de carga o actualice la comprobación de estado de un grupo de destino que el equilibrador de carga utilice para direccionar solicitudes, debe asegurarse de que los grupos de seguridad asociados a ese equilibrador de carga permitan el tráfico en el nuevo puerto en ambas direcciones. Si no es así, puede editar las reglas de los grupos de seguridad que estén asociados al equilibrador de carga o bien asociarle otros grupos de seguridad. Puede elegir los puertos y los protocolos que desee permitir. Por ejemplo, puede abrir conexiones del Protocolo de mensajes de control de Internet (ICMP) para que el equilibrador de carga responda a las solicitudes de ping (sin embargo, las solicitudes de ping no se reenvían a ninguna instancia).
Consideraciones
-
Para garantizar que sus destinos reciban tráfico exclusivamente del equilibrador de carga, limite los grupos de seguridad asociados a los destinos para que acepten únicamente el tráfico del equilibrador de carga. Para ello, configure el grupo de seguridad del equilibrador de carga como el origen en la regla de entrada del grupo de seguridad del destino.
-
Si el equilibrador de carga de aplicaciones es un destino de un equilibrador de carga de red, los grupos de seguridad del equilibrador de carga de aplicaciones usan el seguimiento de conexiones para rastrear información sobre el tráfico que proviene del equilibrador de carga de red. Esto ocurre independientemente de las reglas del grupo de seguridad establecidas para su Equilibrador de carga de aplicación. Para obtener más información, consulte Seguimiento de conexiones de grupos de seguridad en la Guía del usuario de Amazon EC2.
-
Recomendamos permitir el tráfico ICMP entrante para admitir el descubrimiento de MTU de ruta. Para obtener más información, consulte Detección de la MTU de la ruta en la Guía del usuario de Amazon EC2.
Reglas recomendadas
Las siguientes reglas se recomiendan para un equilibrador de carga de acceso a Internet con instancias como destinos.
| Inbound | ||
|---|---|---|
| Origen | Rango de puertos | Comentario |
|
0.0.0.0/0 |
|
Permitir todo el tráfico entrante en el puerto del oyente del equilibrador de carga |
|
Outbound |
||
| Destino | Rango de puertos | Comentario |
|
|
|
Permitir el tráfico saliente a las instancias en el puerto del oyente de la instancia |
|
|
|
Permitir el tráfico saliente a las instancias en el puerto de comprobación de estado |
Las siguientes reglas se recomiendan para un equilibrador de carga interno con instancias como destinos.
| Inbound | ||
|---|---|---|
| Origen | Rango de puertos | Comentario |
|
|
|
Permitir el tráfico entrante del CIDR de VPC en el puerto del oyente del equilibrador de carga |
|
Outbound |
||
| Destino | Rango de puertos | Comentario |
|
|
|
Permitir el tráfico saliente a las instancias en el puerto del oyente de la instancia |
|
|
|
Permitir el tráfico saliente a las instancias en el puerto de comprobación de estado |
Las siguientes reglas se recomiendan para un equilibrador de carga de aplicaciones con instancias como destinos cuando este es un destino de un equilibrador de carga de red.
| Inbound | ||
|---|---|---|
| Origen | Rango de puertos | Comentario |
|
|
|
Permite el tráfico entrante del cliente en el puerto del oyente del equilibrador de carga. |
|
|
|
Permitir todo el tráfico entrante mediante AWS PrivateLink en el puerto del oyente del equilibrador de carga |
|
|
|
Permitir el tráfico de estado entrante desde el Equilibrador de carga de red |
|
Outbound |
||
| Destino | Rango de puertos | Comentario |
|
|
|
Permitir el tráfico saliente a las instancias en el puerto del oyente de la instancia |
|
|
|
Permitir el tráfico saliente a las instancias en el puerto de comprobación de estado |
Actualizar los grupos de seguridad asociados
Puede actualizar los grupos de seguridad asociados con el equilibrador de carga en cualquier momento.
