使用 NAT 实例提供对私有 Ec2 实例的互联网访问

Question

我能够通过 NAT 实例将我的私有 Ec2 实例连接到互联网。 wget google.com 成功。 但是当我将 NACL 附加到我的私有子网时。我无法连接到互联网。谁能告诉我我的 NACL 有什么问题。 10.0.1.0/24 和 10.0.2.0/24 是公网的 CIDR（有 NAT 实例）

私有 NACL 入站规则

私有 NACL 出站规则

另外，当我添加规则以接受来自互联网的所有流量时。它有效。 添加此规则是正确的做法吗？

Answer 1

根据评论。

该问题是由于阻止入站互联网流量 (0.0.0.0/0)。 从 AWS 文档中的Instances cannot access internet 开始，要使用 NAT 启用实例的 Internet 访问，必须确保以下几点：

确保与私有子网和公共子网关联的网络 ACL没有阻止入站或出站 Internet 流量的规则。 要使 ping 命令起作用，规则还必须允许入站和出站 ICMP 流量。

来自评论的问题：

但只有一个问题，在这种情况下，白名单将如何工作。 如果我只想使用互联网下载某些库并且不允许任何 api 请求？

如果您知道将要下载这些库的公共服务器的 IP 范围，那么您可以将互联网流量限制在这些范围内。 但是，如果范围不固定或未知，则必须在规则中允许所有 (0.0.0.0/0) 互联网流量。

通常，安全组用作控制网络流量的主要方式。 NACL 很好，因为它们具有拒绝能力。 安全组不能明确拒绝流量，因此在您想要明确拒绝某些 IP 的情况下，NACL 很有帮助。 但在你的情况下，你只允许流量。 因此，我认为使用默认 NACL就足够了，可以考虑。