15、AWS网络架构：子网、VPC及跨VPC通信详解

AWS网络架构：子网、VPC及跨VPC通信详解

1. 子网部署决策

在部署服务时，需要考虑两个关键问题：服务是否需要通过公共互联网访问，以及要将服务部署在哪个可用区（AZ）。
- 公共互联网访问性 ：这决定了服务应部署在公共子网还是私有子网。如果服务需要面向公众，那么应部署在公共子网；如果是后端服务，通常部署在私有子网。
- 可用区选择 ：为了实现高可用性，可以在不同的可用区冗余部署多个服务。应选择属于能提供最大可用性的可用区的子网。

例如，假设有一个后端服务（Service A），它已经在AZ 1B有一个实例运行，现在想将其部署到AZ 1A。由于Service A属于后端服务，应部署在私有子网，所以选择了Subnet Pv1A1，因为它既是私有子网，又属于AZ 1A。

2. 子网的互联网访问

2.1 互联网网关与NAT网关

互联网网关使服务能够通过互联网访问。对于私有子网，通常不希望其在互联网上可路由，但私有子网内的许多服务仍可能需要访问外部资源。公共子网中的实例可以直接向互联网发送出站流量，而私有子网中的实例则需要借助位于公共子网的NAT网关来访问互联网。

在使用IPv6地址的子网中，仅出站互联网网关可用于与NAT网关几乎相同的目的。NAT网关本身位于公共子网，它将来自私有子网的出站请求通过互联网网关路由到公共互联网。请求必须从私有子网内部发起，并且NAT网关默认维护有状态连接，因此即使请求方在私有子网内，出站请求也会自动允许传入响应，从而实现了私有子网内的安全出站通信。

2.2 NAT网关的