AWS VPC - 添加到附加到 Internet 網關的公共路由表的私有子網

Question

希望你們都做得很好。

AWS 允許我們將私有子網（在客戶 VPC 中創建）與路由表連接，該路由表通過互聯網網關路由到互聯網。 對私有子網中啟動的實例有什么影響嗎？ 或者它與沒有鏈接到路由表的私有子網一樣好，路由到互聯網

問候 AJ

Answer 1

如果子網具有往返 Internet 的路由，則該子網不是私有的。 在私有子網中啟動的實例無法訪問 Internet，也無法從 Internet 訪問。

例如，如果您有一個數據庫實例並且您不希望除了實例之外的任何人訪問該實例，您可以在私有子網中啟動該實例。

此外，如果您希望私有子網中的實例訪問 Internet，則需要設置 Nat 網關（或 Nat 實例）

希望這可以幫助

Answer 2

首先，我們需要知道公有子網和私有子網有什么區別。


公共子網意味着這個子網有一個Internet Gateway連接到它。 私有子網意味着這個子網有一個NAT Gateway連接到它。

Internet 網關可以有入站和出站，但 NAT 只能有出站到 Internet。

並且 NAT 將構建在公共子網中，但附加到私有子網。


您可以同時擁有多個公有/私有子網，並為它們附加 NAT 或 IGW，但 IGW 在每個 VPC 中只能有一個。

在某些用例中，我們不會為子網附加任何類型的 NAT 和 IGW。 那是因為它可能是一個數據庫子網，不會期望它與 Internet 通信。 通常，我們會為我們的應用程序（例如 EC2 或 ECS、內部負載均衡器）使用附加了 NAT 的子網。 另一方面，我們將使用一個帶有 IGW 的子網，用於面向 Internet 的負載均衡器、Nginx、Apache。

AWS VPC 設計： https : //aws.amazon.com/tw/answers/networking/aws-single-vpc-design/

Answer 3

我認為這里隱藏的魔法是私有子網中的實例需要一個公共 IP 來與外部通信，我們從來沒有認為這是我們生活中的問題。 當我們的計算機連接到路由器時，它可以毫無問題地訪問互聯網，為什么它運行得如此順利？ 因為路由器為我們處理一切，包括為我們分配私有IP，為我們進行遞歸DNS查詢，最重要的是，使用路由器的公共IP轉換私有IP，以便我們的計算機可以與外部進行雙向通信。

讓我們回到這個 AWS VPC 場景，您將一個帶有默認路由的路由表附加到您的私有子網，這使它看起來像一個公共子網。 但是，實例仍然沒有公共 IP，並且與我們的路由器不同，AWS VPC 的 Internet 網關不執行 NAT 工作！ 那么沒有公網IP和NAT的實例如何訪問互聯網呢？ 不可能。