多分同じこと書いているエントリ多数だと思うが、自分メモ

やりたいこと

インスタンスで立ち上がっている Git サーバーに、同一ホスト名で SSH も HTTPS アクセスもできるようにしたい

ここに至る過程

CLB の時はリスナーに HTTP/S も TCP も設定できたので、単純に両方を書いて A/AAAA レコードにその CLB をエイリアスすれば良かった

しかし、NLB/ALB 世代になって、NLB は HTTP を解さず、ALB は HTTP/S 以外を受け付けなくなった
両方を1つのホスト名に割り当てることはできないので、何らか工夫する必要がある

なんでこんな事始めたかというと、大昔に作成した CLB のセキュリティポリシーが TLS 1.3 とか受け付けないことに今更に気付いたから（周回遅れにも程がある）

NLB の下に ALB を置けばいいじゃない

簡単な話だった
※ ここでは SSH のポートを 10022 にしているが、当然どのポートでもいい

ターゲットグループは HTTP と HTTPS で別々に作成する必要がある、ALB のターゲットポートが異なる為
通常、ALB からインスタンスの接続は HTTP で行うだろうからヘルスチェックも HTTP にすると思うが、NLB → ALB の HTTPS ポートのヘルスチェックは HTTPS に設定する必要がある
ターゲットグループは dualstack に対応していない
ALB のリクエスト元は NLB になるらしい。アクセス元に応じたセキュリティグループでのアクセス制御は NLB でやればよいが、X-Forwarded-For に影響するかも（未確認）