问在AWS中如何将负载均衡器与ACL相关联？

EN

负载平衡器需要子网来运行，您可以为每个ELB提供的子网在子网级别上设置NACL。但是，如果您已经在ALB前面使用AWS，为什么需要在该级别设置NACL？如果您在ALB前面使用Cloudfront，则可以使用此aws实验室代码设置您的ALB安全组，使其仅可从Cloudfront IP地址范围访问

• 您的VPC自动附带一个可修改的默认网络ACL。默认情况下，它允许所有入站和出站IPv4流量，如果适用，允许IPv6流量。
• 您可以创建自定义网络ACL并将其与子网关联。默认情况下，每个自定义网络ACL在添加规则之前拒绝所有入站和出站通信。
• VPC中的每个子网必须与网络ACL相关联。如果没有显式地将子网与网络ACL关联，子网将自动与默认网络ACL相关联。
• 您可以将网络ACL与多个子网相关联；但是，一次只能将一个子网关联到一个网络ACL。当您将网络ACL与子网关联时，将删除以前的关联。
• 网络ACL包含按顺序计算的规则编号列表，从最低编号规则开始，以确定是否允许通信量进出与网络ACL关联的任何子网。规则可以使用的最高数字是32766。我们建议您首先创建规则号为100的倍数的规则，以便在以后需要插入的地方插入新规则。
• 网络ACL有单独的入站和出站规则，每个规则都可以允许或拒绝通信量。
• 网络ACL是无状态的；对允许的入站通信量的响应受出站通信规则的约束(反之亦然)。

http://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_ACLs.html

这是一个关于如何将WebACL与负载均衡器相关联的好文档。

https://aws.amazon.com/blogs/aws/aws-web-application-firewall-waf-for-application-load-balancers/

如果您使用的是CloudFormation：

https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-resource-wafregional-webaclassociation.html