AWS PrivateLinkでNLBに接続する際、最低限必要なセキュリティグループのルール - Qiita

結論 備考 備考の方が長くなりました。 TCPリスナーでパススルー構成となるため、EC2のSecurity Group Cで192.168.1.10/32:80が必要そうだがなくても大丈夫。なぜならPrivateLink経由でNLBにアクセスする場合は、NLBで送信元IPが書き換わって、EC2にアクセスするのはNLBのIPになるから。 ちなみにPrivateLinkを使用しない場合はNLBでアドレスは書き換わらない。 ※デフォルト設定の「クライアントIPアドレスの保持」が「有効」な場合。「無効」するとNLBのIPアドレスに書き換わる。 PrivateLink経由の接続の場合、「クライアントIPアドレスの保持」が「有効」でも「無効」でもNLBのIPアドレスに書き換わる。クライアントのIPアドレスを保持したい場合はProxy Protocolを有効にする。 その場合、nginx側のログフォーマ