13、深入解析AWS网络组件：路由表、安全组与NACL

深入解析AWS网络组件：路由表、安全组与NACL

1. 路由表（Route Tables）

路由表由一个或多个路由以及至少一个子网关联组成。可以将其想象成一个传统路由器，连接着多个子网。当创建VPC时，AWS会自动创建一个名为主路由表的默认路由表，并将其关联到该VPC中的每个子网。你既可以使用主路由表，也可以创建自定义路由表并手动将其关联到一个或多个子网。

子网必须与路由表关联才能存在。如果没有明确将子网与自定义路由表关联，AWS会默认将其与主路由表关联。

1.1 路由（Routes）

路由决定了如何在与路由表关联的子网内的资源之间转发流量。IP路由是基于目标的，即路由决策仅基于目标IP前缀，而非源IP地址。创建路由时，需要提供以下元素：
- 目标IP前缀
- 目标资源

目标必须是CIDR表示法的IPv4或IPv6前缀，目标资源必须是AWS网络资源，如Internet网关或弹性网络接口（ENI），不能是IP前缀。

每个路由表都包含一个本地路由，允许不同子网中的实例相互通信。以下是一个VPC的CIDR为172.31.0.0/16时的本地路由示例：
| 目标 | 目标资源 |
| — | — |
| 172.31.0.0/16 | 本地 |

本地路由是每个路由表中唯一必需的路由，它允许同一VPC内的实例进行通信。由于没有其他IP前缀的路由，任何发往VPC CIDR范围之外地址的流量都将被丢弃。

如果想让子网内的流量通过特定实例（如安全设备），可以创建一个以子网CIDR为目标、安全设备的ENI为目标资源的路由。