是否有人在您的VPC的公共子网中配置了NLB以将流量路由到位于私有子网中的EC2实例？
使用ELB时，一个好的解决方案是为ELB创建一个安全组，然后为私有EC2实例创建另一个安全组，允许来自该ELB安全组的入站流量，如此处所述：
https://aws.amazon.com/premiumsupport/knowledge-center/public-load-balancer-private-ec2/
“您还可以在实例的安全组上添加规则，以允许来自分配给负载均衡器的安全组的流量。例如，如果负载均衡器上的安全组为sg-1234567a，则对与私有实例相关联的安全组进行以下更改”
由于您无法将安全组关联到NLB，那么如何使用相同类型的安全性来完成这项任务呢？
谢谢！
Recommended Rules
Inbound Source Port Range Comment
Client IP addresses instance listener Allow traffic from clients on the instance listener port
VPC CIDR health check Allow traffic from the load balancer on the health check port
根据 AWS 文档的说法，这是确实的：
网络负载均衡器没有关联的安全组。因此，目标的安全组必须使用 IP 地址来允许来自负载均衡器的流量。
因此，如果您不想授予对整个 VPC CIDR 的访问权限，您可以授予对负载均衡器节点使用的私有 IP 地址的访问权限。每个负载均衡器子网有一个 IP 地址。
在 NLB 标签页中，每个负载均衡器有一个网络接口，从那里：
对于每个网络接口的详细信息选项卡，请复制主要私有 IPv4 IP 的地址。
您可以将此私有 IP 地址添加到 EC2 实例的 SG 中。
请参阅 AWS 文档
跟踪您的HTTP访问日志，您会发现网络负载均衡器的源IP地址没有变化，这意味着如果互联网需要访问您的端点，您需要在端点安全组中允许0.0.0.0/0。
如果您使用的是私有子网，那么这样做是可以的，但如果您将此服务器放在公共子网上，则不建议使用此解决方案。在这种情况下，只需使用应用程序负载均衡器即可。您仍然可以设置相同的监听器，并按实例配置目标组。应用程序负载均衡器将更新源IP地址为其自己的私有地址，如果您跟踪访问日志的话。这样做的好处是您只需要允许应用程序负载均衡器的HTTPS流量，然后您可以从负载均衡器接受目标组的HTTP流量（如果需要的话）。