今天，我们将 WAF 用于应用程序负载均衡器，这很棒，但 WAF 不支持网络负载均衡器。因此，我们需要一个可以在 NLB 之后保护我们的解决方案。例如：
1. Firewall->NLB->App (best option for us)
2. NLB->Firewall->App
需要明确的是，我们必须使用 NLB 而不是 ALB，因为我们需要使用 TCP 而不是 HTTP/HTTPS，因为我们有许多域，我们在我们的服务器上为它们提供 SSL（使用 CaddyServer），所以如果我们使用 ALB，这个域名的 SSL 将不起作用。
谢谢你的帮助
答案1
澄清
我真的不完全明白你想做什么。如果这不能回答你的问题，请编辑它以更全面地描述你想要实现的目标，而不是你认为如何实现它 - 即描述你的工作负载和连接/防火墙要求。例如，你所说的防火墙是指安全组、NACL、EC2 上的虚拟 SRX 等设备吗？
ALB 落后于 NLB
您可以在 NLB 后面放置 ALB。请查看本文了解详情。该文章向您展示了如何使用 NLB 为 ALB 提供静态 IP。
ALB 可以通过安全组进行保护。因此，它是这样的
Internet > NACL > NLB -> Security Group > ALB > Workload
也可能是
Internet > NACL > NLB -> Security Group > ALB > NACL > Security Group > Workload
或者
Internet > NACL > NLB -> Security Group > ALB > NACL > Security Group > EC2 Firewall Appliance -> Security Group -> Workload