为什么需要更"听话"的IP地址？
在云计算的世界里，Application Load Balancer (ALB) 是高可用和可伸缩架构中的核心组件。它负责将传入的流量智能地分发到后端目标。但是，对于互联网面向的 ALB，其公共 IP 地址的分配通常是随机的，这可能给需要维护 IP 允许列表（allowlist）的工友来不便，尤其是在与外部合作伙伴或客户协作时更是会让人狂掉头发。我最近在用亚马逊云提供的服务，它引入 VPC IPAM（IP 地址管理），再也不用猜测 ALB 会拿到哪个公有 IP 了，一切都在 IPAM 池里预先准备好的 CIDR 决定。一下子舒服了～
任何外网用户访问你的 ALB 时，都会先经由 Route 53 将域名解析到各 AZ（可用区）中 ALB 节点的公有 IP。传统模式下，这些 IP 由亚马逊云公共池随机分配，导致合作方无法提前做防火墙/白名单配置，也不利于审计追踪。但启用 IPAM 后，所有节点的 ENI（弹性网卡）都会从你指定的 IPAM 池里按序剥离地址──既可预测，又保留了 ALB 的按需扩缩容能力。
什么是公共IP地址？
公共IP地址是互联网上可路由的唯一标识符，它就像是你云上资源的"门牌号"，允许互联网上的任何主机与你的云资源进行通信，反之亦然 。在亚马逊云等云环境中，公共IP地址是你的应用程序与外部世界连接的必要桥梁。
在云环境中，公共IP地址可以由云提供商（如亚马逊云）自动分配，也可以是我们自带的 IP（Bring Your Own IP, BYOIP）地址 。IP地址还可分为"静态IP"和"临时IP"。临时IP地址的生命周期与关联资源紧密相连，通常在资源停止或删除时会被释放；而静态IP地址则被保留，即使关联资源发生变化，IP地址也能保持不变，这对于服务依赖特定IP地址的场景至关重要 。对"可预测"IP地址的需求，正是源于对这种"静态"和"稳定"特性的渴望。理解这两种IP类型的根本差异，有助于认识到 ALB 在集成 IPAM 前（临时、随机）和集成后（静态、可预测）的本质区别。这不仅仅是拥有IP地址的问题，而是IP地址是否稳定可控的问题，这对于需要维护IP白名单的场景具有决定性意义。
亚马逊云的 ALB
亚马逊云科技的 Application Load Balancer (ALB) 是弹性负载均衡（ELB）服务家族中的一员，它工作在 OSI 模型的第七层（应用层）。这意味着 ALB 能够根据 HTTP/HTTPS 请求的内容，例如 URL 路径或主机头，智能地将流量路由到不同的后端目标，如 EC2 实例、容器、IP地址，甚至是 Lambda 函数 。
ALB 的优势在于它能够通过将传入流量分发到多个可用区中的多个目标，显著提高应用程序的可用性 。它为现代应用程序架构，包括微服务和基于容器的应用，提供了高级的请求路由能力 。此外，ALB通过始终确保使用最新的 SSL/TLS 密码和协议，简化并增强了应用程序的安全性 。
一个互联网 ALB 并非由单个服务器构成，而是由后台的 ALB 节点集群组成。通常，ALB 会在每个可用区配置一个节点，并且每个面向互联网的 ALB 节点都需要一个私有IP地址和一个公共IP地址 。客户端通常通过 DNS（域名系统）访问 ALB 后面的应用程序。每个互联网 ALB 都会获得一个完全限定域名（FQDN），亚马逊云 会自动用ALB的公共IP地址更新这个 FQDN，无论这些IP地址是亚马逊云提供的还是我们自带的 。这种多节点架构解释了为什么一个 ALB 会拥有多个公共IP地址，以及这些IP地址的管理为何会变得复杂。如果这些IP地址是随机分配的，那么随着ALB的弹性伸缩，其对外暴露的IP地址集合会动态变化，这直接导致了白名单维护的困难。亚马逊云 的 DNS 更新机制本身是为了保障 ALB 的高可用性和弹性伸缩，但对于需要IP白名单的特定场景，这种动态更新反而成为了一个障碍。这揭示了亚马逊云默认设计（为弹性而动态）与特定客户需求（为安全而静态）之间存在的冲突，而 VPC IPAM 的集成正是为了解决这种冲突。
传统ALB公共IP分配的"随机性"挑战
在 VPC IPAM 集成之前，互联网ALB的公共IP地址是随机从亚马逊云拥有的区域公共IP地址块中获取的 。这种随机性意味着客户无法为他们的互联网 ALB 使用可预测的IP地址。
这种随机性给与外部合作伙伴或客户维护一致的IP白名单带来了巨大的挑战 。例如，当你的 ALB 的IP地址发生变化时，你需要通知所有依赖这些 IP 的合作伙伴更新他们的防火墙规则。这不仅耗时且容易出错，而且还可能导致服务中断或安全漏洞。亚马逊云会主动从 DNS 中移除区域负载均衡器IP地址，当多个基础设施问题影响服务时 ，这进一步说明了IP地址的动态性。这种不可预测性迫使客户采取次优的解决方案，例如允许整个亚马逊云区域的IP范围（这会降低安全性）或频繁手动更新白名单（这会增加操作负担和出错风险）。VPC IPAM 的集成直接弥补了这一控制上的空白。这个功能于2025年3月推出，表明这个问题在亚马逊云生态系统中长期存在，并且近期才得到了官方的、直接的解决方案，这凸显了该集成的重要性，它解决了许多长期以来的痛点。
亚马逊云的 VPC IPAM
亚马逊云的 VPC IPAM 是 VPC 中的一项用于管理 IP 地址的功能，主要用于规划、跟踪和监控亚马逊云环境中的 IP 地址分配情况。它通过自动化手段，降低了传统手动管理 IP 地址时容易出错的问题，使地址分配和管理过程更加规范和可控。
VPC IPAM的核心能力
VPC IPAM 的核心目的是简化亚马逊云环境中的IP地址管理 。最初，IPAM 主要用于在 VPC 级别分配和监控 CIDR 块。最近的增强功能使其能够管理 VPC 子网的 CIDR 分配，并使用 CloudWatch 监控子网IP地址利用率 。这种"规划、跟踪和监控"的能力不仅仅是简单的IP分配，它代表了一种IP地址的生命周期管理方法。这意味着 IPAM 将IP地址管理从被动的"分配"转变为主动的"治理"，有助于预防IP冲突、优化IP空间利用率，并提高网络的可审计性，这对于大型、复杂的云环境至关重要。
VPC IPAM的主要优势包括：
- 简化IP地址管理： 帮助组织轻松规划和组织 VPC 的IP地址空间，以便分配给子网，满足其连接需求 。
- 支持共享 VPC 场景： 在共享 VPC 环境中，应用程序团队可以在子网创建时从适当的地址空间获得自动IP分配 。
- 简化安全操作： 通过 IPAM 实现的地址规划，允许在配置安全组、网络 ACL 或防火墙白名单/黑名单时使用池中预置的摘要 CIDR，从而简化安全操作 。
- 多VPC环境中的IP标准化： 在多 VPC 架构中，子网分配功能有助于标准化子网的IP大小，例如，可以强制公共子网使用/27，私有子网使用/24 。
- 子网级监控： 对于需要大量IP地址的 EKS 集群等，可以使用
SubnetIPAllocatedCloudWatch 指标监控IP地址使用情况，并配置警报进行主动补救 。
IPAM 还可以与亚马逊云的 Organizations 集成，允许我们监控整个组织的IP地址使用情况，并在成员账户之间共享IP地址池 。然而，实现这种组织级管理需要 VPC IPAM 高级层 。强调 IPAM 对"共享 VPC"和"多账户场景"的支持，以及需要"高级层"的事实，表明 IPAM 是为企业级、大规模部署而设计的。虽然本教程关注单个 ALB，但 IPAM 的底层能力更广阔，预示着它在大型组织中作为集中式网络管理工具的战略重要性。
IPAM如何帮助我们"驯服"IP地址？
VPC IPAM通过以下关键功能帮助我们更好地管理IP地址：
- 分层地址规划：我们可以创建一个顶层池，其中包含整个部署的 CIDR 块。然后，可以从这个顶层池中分配 CIDR，创建分层地址规划，例如，可以按亚马逊云区域划分，再进一步划分为"开发"和"生产"工作负载池。这种分层管理使得IP地址的分配更有序、更易于追踪。
- 子网分配功能：IPAM 的子网分配功能使用 IPAM 池上的新资源规划配置，允许在创建子网时自动从 IPAM 池中分配 CIDR。我们可以指定网络掩码等约束条件，例如，可以规定所有公共子网必须是/27，所有私有子网必须是/24。这种能力意味着 IPAM 不仅能分配IP，还能强制执行网络设计策略，大大减少了手动错误，提高了网络配置的一致性和合规性。
- 现有资源管理： 对于已经存在的子网，VPC IPAM 可以将其 CIDR "回填"到子网池中进行跟踪，从而将现有资源纳入 IPAM 的管理范围 。此外，当子网被删除时，VPC IPAM 会自动将子网的CIDR 分配释放回子网池，确保IP地址的有效回收和再利用 。虽然IPAM不直接管理单个弹性IP，但它能够管理现有子网的 CIDR 块，这为现有亚马逊云的用户提供了一条逐步将IP地址管理纳入 IPAM 体系的路径。
ALB 与 VPC IPAM 的集成，可以很好的解决公共 IP 地址分配存在的随机性问题，为互联网 ALB 的 IP 地址管理提供了更可控的方案。通过这一集成，我们可以实现公共 IP 地址的可预测性，同时简化地址规划和运维流程。这一机制带来了多方面的技术改进，优化了 ALB 在公网场景下的 IP 地址使用方式。
实战演练
前置工作
在使用亚马逊云服务之前需要把账号准备好，注册方法非常简单。
1、访问亚马逊云科技官网，点击右上角 "创建用户" 按钮。
2、输入邮箱地址，点击 "验证邮箱地址"，查收验证码并输入。
3、按要求输入密码，完成密码设置。
4、按页面提示输入姓名、联系方式等个人信息。
5、输入 VISA 等主流信用卡信息（用于身份验证，免费套餐内不扣费）。
6、选择 "商用" 或 "个人" 用途，通过短信验证（地区选中国）。
7、个人开发选 "基本支持（免费）"，企业可选择付费支持计划。
8、提交后等待验证，通过后登录账户，进入管理控制台使用云服务。
动手实操
在亚马逊云控制台和 CLI 中配置 ALB 与 VPC IPAM 集成，主要有2种场景：新建 ALB 和迁移现有 ALB。
场景一：创建新的互联网ALB
第1步：准备IPAM池
在亚马逊云控制台导航到 VPC IPAM 服务，创建或选择一个现有的区域 IPAM 池。确保该池中配置了您希望ALB使用的公共 IPv4 CIDR 块（可以是亚马逊云提供的，也可以是你的 BYOIP） 。确认 IPAM 池的区域与您计划创建ALB的区域一致 。务必验证 IPAM 池中的 CIDR 处于"已预置"状态，否则 ALB 将无法从中获取IP 。
第2步：创建ALB并指定IPAM池
在创建新的互联网 ALB 时，在网络映射（Network mapping）配置步骤中，找到"IPv4地址管理"选项，选择"使用 IPAM 池作为公共 IPv4 地址来源"，并从下拉列表中选择您准备好的 IPAM 池 。
对于自动化或高级用户，可以使用亚马逊云的 CLI 创建 ALB 并指定 IPAM 池。以下是命令示例：
python
aws elbv2 create-load-balancer \
--type application \ # 负载均衡器类型，这里是应用型 (Application Load Balancer)
--name <ALB name> \ # 负载均衡器的名称，替换 <ALB name> 为你自定义的名称
--ip-address-type ipv4 \ # 使用的 IP 地址类型，这里是 IPv4
--subnets <list of subnets separated by space> \ # 指定子网列表，子网 ID 之间用空格分隔，负载均衡器将部署在这些子网内
--scheme internet-facing \ # 负载均衡器的访问类型，这里是公开的 (Internet-facing)，对公网开放
--ipam-pools Ipv4IpamPoolId=<VPC IPAM pool id> # 指定 VPC IPAM 池，替换 <VPC IPAM pool id> 为你的 IPAM 池 ID，用于分配 IP 地址同时提供控制台和 CLI 两种配置方式，体现了教程的全面性和实用性。控制台适合可视化操作和初学者，而 CLI 则为自动化脚本和高级用户提供了便利，满足了不同学习风格和使用场景的需求。
第3步：验证IP地址分配
ALB 创建完成后，导航到ALB的"网络映射"（Network mapping）选项卡。在此处，您可以验证 ALB 的公共IPv4地址是否已从您指定的IPAM池中获取 。
明确指出"网络映射"选项卡作为验证点，为用户提供了直接、可视化的确认方式。这完善了操作闭环，让用户能够即时验证配置是否成功，增强学习的信心和成就感。
场景二：迁移现有互联网 ALB
如果用户有现有互联网ALB并希望将其迁移到使用 VPC IPAM 池提供的公共IPv4地址，可以按照以下步骤操作：
- 在现有 ALB 的"网络映射"选项卡上，选择"编辑IP池"（Edit IP Pools） 。
- 在新屏幕上，选择"使用 IPAM 池作为公共IPv4地址来源"，并从下拉列表中选择目标 IPAM 池 。
同样，也可以使用亚马逊云 CLI 修改现有 ALB 以使用 IPAM 池：
ini
aws elbv2 modify-ip-pools \
--load-balancer-arn <ARN of the ALB> \ # 指定要修改的 ALB 的 ARN（资源名称）
--ipam-pools Ipv4IpamPoolId=<VPC IPAM Pool ID> # 指定新的 VPC IPAM 池 ID，用于为 ALB 分配 IPv4 地址modify-ip-pools API的存在，表明亚马逊云不仅支持新 ALB 的 IPAM 集成，也为现有 ALB 提供了官方的迁移路径。这对于已经有大量亚马逊云基础设施的工友来说，是一个重要的功能，因为它允许逐步引入 IPAM 而无需重建现有服务。
以上就是本文的全部内容啦。最后提醒一下各位工友，如果后续不再使用相关服务，别忘了在控制台关闭，避免超出免费额度产生费用～