AWS — довольно сложная корпоративная платформа. Вам действительно нужно изучить платформу, чтобы использовать ее, чтобы убедиться, что вы делаете все правильно и безопасно. Обучение очень помогает.
На ваш вопрос немного сложно ответить, поскольку вы не используете стандартную терминологию AWS.Но краткий ответ заключается в том, что группа безопасности, связанная с вашим сервером IIS, должна иметь открытые входящие порты 80 и 443. Вам не нужен ELB, если у вас есть только один сервер EC2, но ELB обеспечивают некоторую дополнительную защиту от некоторых форм DDOS-атак. Вам нужен интернет-шлюз в вашем VPC, направленный в вашу общедоступную подсеть, но таблица маршрутов для вашей частной подсети не должна направлять на интернет-шлюз. Частная подсеть также не должна выделять общедоступные IP-адреса.
Обновление — если вы хотите запустить несколько веб-серверов, используйте балансировщик нагрузки приложений в одной группе безопасности с 443/80, открытой для всего мира, а затем другую группу безопасности для ваших экземпляров EC2, открытую только для ALB. Инстансы EC2 лучше всего использовать в частной подсети, без маршрута в/из Интернета и без общедоступного IP-адреса.
Если это не имеет смысла, я предлагаю либо пройти обучение, либо нанять кого-нибудь, чтобы помочь :)
Обновить SSL
Я бы не стал делать разгрузку TLS в CloudFlare, иначе ваш трафик в Интернете останется незашифрованным и несовместимым ни с чем. Вы можете завершить TLS на ALB и довольно безопасно использовать http для своих экземпляров EC2, поскольку трафик внутри AWS обычно считается безопасным, он изолирован гиперплоскостью AWS. ALB может получать трафик через порт 443, расшифровывать его, а затем передавать в EC2 через порт 80. Сам я этого не делал, но думаю, что вы только что настроили свою целевую группу для прослушивания порта 80, а не 443. Создайте сертификат TLS, используя Менеджер сертификатов AWS.
Лично я бы использовал TLS на инстансах EC2, если бы у меня не было веских причин или рабочая нагрузка не была чувствительной. Однако проще использовать сертификат ALB, чем устанавливать сертификаты на каждый экземпляр EC2.
