如何訪問私有子網中的 EC2 實例？

Question

我將通過 AWS 構建服務器基礎設施。

其中，為了加強安全方面，我們將所有web服務器放在私有子網中，通過堡壘主機進行管理。

粗略的結構 map 作為第一個照片文件附加。 （ip地址只是一個例子）

為了完成這個結構，創建了一個具有一個公有子網和一個私有子網的 VPC，公有子網連接到 Internet 網關的路由表，私有子網連接到 NAT 網關的路由表。 該結構被附加為第二個和第三個。

在這種情況下，我們在私有子網上創建了一個 ec2 並建立了一個簡單的 Express 服務器用於測試目的，並保持端口 3000 開放。 在這種情況下，我在外網地址window中搜索了nat gateway的EIP來訪問express服務器，但是無法訪問。

我允許來自任何 IPv2 地址的 3000 端口。

這里有兩個主要問題。

1. 我想知道為什么你不能訪問快遞服務器。
2. NAT 網關用於從外部訪問私有子網，如果多個服務器從不同的實例（具有不同的私有 IP 地址）在該私有子網上運行，我想知道是否有任何方法可以訪問特定服務器。

Answer 1

如今，訪問私有子網和公共子網中的實例的常用方法是通過SSM Session Manager 。 與傳統的 ssh 方法相比，管理器有很多好處。 其中一些是：

• 不需要堡壘主機，
• 使用 IAM 管理和記錄 SSM Session 管理員權限和活動
• 通過瀏覽器工作。

要使用 SSM Session Manager，需要三樣東西：

• 實例上的 SSM 代理 - 預安裝並在所有流行的 AMI 映像上運行（Amazon Linux 2、Ubuntu，...）
• 具有代理權限以允許 SSM 訪問的 IAM 角色。
• 與 SSM 服務的連接。 由於您有 NAT，因此這不是問題。 其他方式是通過不需要 NAT 的 VPC 接口端點。