【AWS专栏】AWS Network

AWS中的网络

网络组件

VPC
subnet
NAT
IGW

IGW: 公网访问需求(例如对外提供 API、需要被外部直接访问的 ALB/EC2)。
NAT: 私有子网服务器需要访问外部(如下载依赖、打补丁)但不暴露服务。
IGW: 不额外收费用本身(只算流量出站)。
NAT Gateway: 按小时 + 流量计费，跨 AZ 流量还会额外。

对外服务用 IGW + 公有子网；
仅需出网拉资源且不暴露服务，用 NAT（私有子网）。
组合常见结构：ALB/跳板机在公有子网，应用/数据库在私有子网，经 NAT 出网

TGW
CDN
NSG
ACL
Direct Connect

典型的VPC内网络

小型集群

中型集群（最常用，可以管理

同一个VPC下的子网分别在两个不同的可用区AZ,保证其可用性。
子网分为公共子网以及私有子网，

• 私有子网通过NAT进行统一的出口与入口的访问，NAT通过ENI进行公网访问。
• 公有子网通过IGW(internet gateway）进行公网的访问。

【注意】
① 不在同一可用区的NAT与子网间的流量会产生费用，所以如果需要，可以每个子网独立建立一个NAT网关。

② 通过S3 private endpoint访问S3可以节省成本，而不是通过NAT网关访问。如有成本异常，检查大部分费用是否来自其他区域的 Amazon Simple Storage Service (S3) 或 Amazon DynamoDB 的流量。如果费用发生在其他区域，则通过 Amazon S3 接口端点【S3 privatelink-interface-endpoints】而不是 NAT 网关访问 Amazon S3。

大型集群

大型集群通常会跨VPC，分别在不同的VPC中。
可以通过
①VPC Peering 对等连接，此方式相对简单，但是不好管理，因为需要管理每个对等链接。
②通过transit gateway, TGW可以让网络成为星状网络，并且由TGW统一管理。

子网掩码

参考资料

一文看懂 Amazon EKS 中的网络规划
网络规划