17、跨 VPC 通信与云端网络安全策略

跨 VPC 通信与云端网络安全策略

在云计算环境中，跨 VPC（Virtual Private Cloud，虚拟专用云）通信以及网络安全是保障系统稳定运行和数据安全的重要方面。下面将详细介绍跨 VPC 通信的方式、云端防火墙等效工具、容器和 Lambda 函数的网络安全策略。

1. 跨 VPC 通信方式总结

在使用 VPC 隔离微服务并构建良好的架构后，可以通过以下三种方式实现合法用例的受控通信，每种方式都有其优缺点，组织需要根据自身情况进行选择。具体对比如下：
| 通信方式 | VPC 对等连接 | AWS 中转网关 | VPC 端点/PrivateLink |
| — | — | — | — |
| 网络拓扑 | 创建上下文的网状网络拓扑，连接多个有界上下文 | 创建中心辐射型网络拓扑，将多个有界上下文连接到中央路由器 | 创建微服务的点对点网络拓扑，跨上下文细粒度提供服务 |
| 成本 | 对等连接无需额外费用，但传输数据收费 | 按每小时连接到中转网关的数量和流经的流量收费 | 每个可用区中 VPC 端点每小时计费，与服务关联状态无关 |
| 微服务独立性 | IP 不能重叠，设计不同网络时存在耦合和开销 | 与 VPC 对等连接类似，缺乏连接重叠 CIDR 块网络的能力 | 服务提供者和消费者可以有重叠的 CIDR 块 |
| 延迟 | 无额外延迟 | 中转网关增加一跳，导致数据包传输略有延迟 | 无额外延迟 |
| 使用场景 | 适用于明确规定哪些服务上下文可以相互通信的情况 | 适用于大量数据包的传递路由场景 | 适用于服务间存在大量提供者 - 消费者关系的场景 |
| 总结 | 无额外成本，易于实现，但不