我應該在公共子網還是私有子網上掛載 AWS EFS？

Question

這個簡單的問題，在文檔中找不到答案。

任何人都知道這個問題的最佳實踐嗎？

我假設它是私有的，但想了解為什么會這樣。

Answer 1

您應該只將想要從 VPC 外部訪問的內容放在公有子網中。 最佳實踐是在您的公共子網中只擁有您的公共負載均衡器和 NAT 網關。 這通過確保您的重要資源只能從 VPC 內部訪問來確保額外級別的網絡安全。

因此，在這種情況下，您可能希望將 EFS 掛載放置在您的私有子網中。

Answer 2

在 AWS 中，我們通常使用私有子網進行大多數服務集成。 某些服務在連接到公共子網時不起作用。 例如，當連接到 VPC 時，Lambda 無法正常工作，如果使用公共子網。 Glue Jobs 和 Crawlers 也是如此。

[編輯：感謝 MarkB 的貢獻]這是因為 Lambda 函數之類的 ENI 沒有分配公共 IP 地址，只有私有 IP。 所以他們需要一個到 NAT 網關的路由才能訪問 VPC 之外的東西，只有私有子網才能有一個到 NAT 網關的路由。