爲什麼我們需要在AWS中使用私有子網+ NAT轉換？我們不能只使用公共子網+正確配置的安全組嗎？

因此，AWS中的私有子網的目的是不能直接從外部訪問它的實例。然而，有些情況（成功地抵制了'實例'雙關語），在這種情況下，實例可以訪問互聯網。例如，一種這樣的用例可能是下載軟件更新。爲什麼我們需要在AWS中使用私有子網+ NAT轉換？我們不能只使用公共子網+正確配置的安全組嗎？

實現此目標的「標準」方法是使用NAT網關和路由表中的所有出站流量指向的規則（0.0.0.0/0 - > nat-gw）。

是困擾我，這是的事情：我們不能只用一個公共子網與拒絕入站流量，並允許特定的出站流量配置正確的安全組（SG）？由於SG是有狀態的，它們應該允許對出站流量的響應通過，就像NAT網關一樣。

我假設我只是錯過了某些東西，或者上述配置受限於某種我沒有看到的方式。但是我無法找到答案。

「我們不能只使用具有正確配置的安全組的公共子網」 - >對於每個問題，都有很多可能的解決方案。「可以使用不同子網（私有或公共）」有多種原因，如可擴展性和支持大量資源/ IP，分區以降低風險和合規性要求等。如果您不關心（或）不有任何這些要求，您可以隨意搭建您想要的任何方式。 – kosa

那麼，那麼會是一個原因*不*這樣做（除了外部合規性原因）？我只是想更好地掌握情況，並獲得辨別何時適合和何時不適合的能力。 –

正如我所評論的，如果您有任何像我列出的要求，大多數大公司都有，那麼您會選擇私人+公共子網方法。如果您大多數時間只有單個（或多個）EC2實例，只需使用公有子網+ SG即可。所以，具體的答案取決於很多因素。總之，對於這個問題的回答不僅僅取決於技術堆棧，非技術環境發揮重要作用。 – kosa

符合性是人們可能選擇具有私有子網的主要原因之一。許多公司，特別是金融機構，在服務器不能公開訪問的情況下，有嚴格的合規要求。創建公有子網時，有一個分配公共IP地址的可能性，這可以使任何實例可以從互聯網訪問（只要安全組組允許）。
安全組是AWS在邏輯級別提供的防火牆。創建專用子網可確保即使實例屬於安全組的，該安全組允許訪問某些端口和協議，但服務器仍然無法公開訪問。
另一個原因是，您可能會選擇私有子網，其架構是您的基礎設施，所有公共服務器總是在 DMZ中。只有DMZ才能訪問互聯網。其他的東西都在一個私人子網。如果出現問題，可以關閉進入DMZ的DMZ，並且可以防止進一步的損壞。

2017-05-15 20:19:13

簡單的答案是......你是對的！

您當然可以在公有子網中啓動所有內容，並使用安全組來控制實例之間的流量並限制來自Internet的入站訪問。

人們使用公開&私有子網，因爲這是網絡傳統上設計的方式，當防火牆只存在於子網之間時。安全組是在彈性網絡接口上工作的附加安全層，但對於許多網絡專業人員（包括設計合規要求的人員）而言，這有點可怕並且新穎。

2017-05-15 23:12:14

回答