AWS PrivateLinkでNLBに接続する際、最低限必要なセキュリティグループのルール

結論

備考

備考の方が長くなりました。
TCPリスナーでパススルー構成となるため、EC2のSecurity Group Cで192.168.1.10/32:80が必要そうだがなくても大丈夫。なぜならPrivateLink経由でNLBにアクセスする場合は、NLBで送信元IPが書き換わって、EC2にアクセスするのはNLBのIPになるから。

ちなみにPrivateLinkを使用しない場合はNLBでアドレスは書き換わらない。
※デフォルト設定の「クライアントIPアドレスの保持」が「有効」な場合。「無効」するとNLBのIPアドレスに書き換わる。

PrivateLink経由の接続の場合、「クライアントIPアドレスの保持」が「有効」でも「無効」でもNLBのIPアドレスに書き換わる。クライアントのIPアドレスを保持したい場合はProxy Protocolを有効にする。

その場合、nginx側のログフォーマットに$proxy_protocol_addrの追加が必要