限制从 Cloudfront 访问 Lightsail 机器

Question

我有一个在 lightsail 上托管的网站 (https://www.cakexpo.com)。几天前，我们的 IP 遇到了 DDOS 攻击，这迫使我将我的网站转移到云端。

我将我的网站移至云端，但我的 IP 地址仍然是公开的，使其再次容易受到更多攻击。

我正在尝试了解如何隐藏我的 IP 不让公众访问。

我发现在vpc中，你可以获取相应的cloudfront ip列表并将它们列入安全组白名单，我尝试过

它工作了一段时间，但后来我意识到cloudfront使用了大量的IP，这些IP没有在这里列出，因此没有在我的安全组中列入白名单。 这使得我的网站间歇性不可用。

nslookup

显示了一个不同的ip，它没有在上面的列表中列出，这个链接说有190多个ip与Cloudfront关联，IMO，安全组无法处理。 https://ip-ranges.amazonaws.com/ip-ranges.json

最后我恢复了配置并公开了我的 IP。

还有其他方法可以隐藏光帆机器不让公众访问吗？

Answer 1

您可以通过两种方式做到这一点。 简单方法：在lightsnail中创建一个ngnix反向代理实例，仅允许从该反向代理实例访问您的lightsnail主实例。然后创建一个分发实例（对于lightsnail，使用的是cloudfront），然后将反向代理实例指向Origin。 困难的方法：vpc 对等到 AWS，从那里您创建一个 Cloudfront 实例。允许从中访问。