9、AWS虚拟专用云（VPC）全解析

AWS虚拟专用云（VPC）全解析

1. 概述与灾难恢复

AWS VPC可支持多种使用场景，你可以在VPC向导中选择“仅含私有子网和硬件VPN访问”选项来创建VPC，也能手动创建。连接VPC到数据中心，可通过硬件VPN或AWS直连服务。例如，利用现有互联网连接，通过硬件VPN将数据中心扩展到AWS云。

在灾难恢复和业务连续性规划方面，需持续将关键数据备份到灾难恢复站点。可使用VPC托管带有EBS卷的EC2实例，将数据安全存储在S3存储桶和附加到EC2实例的EBS卷中，且可配置为仅从自有网络访问。在业务连续性计划中，可在VPC中运行少量EC2实例，灾难发生时可快速扩展以满足生产工作负载需求；灾难结束后，将数据复制回数据中心，使用数据中心服务器运行工作负载，并终止额外配置的资源，如AWS VPC中的EC2实例和RDS实例。使用AWS VPC进行灾难恢复和业务连续性规划，成本远低于传统物理数据中心的托管站点，还可借助AWS CloudFormation服务实现自动化，大幅减少部署和配置时间。

2. VPC安全特性

VPC主要负责在AWS区域内移动IP流量，因此首要任务是确保进出VPC的流量安全。VPC内部资源默认可相互通信，重点在于保障VPC内外资源的通信安全。AWS VPC提供了多种安全特性，包括安全组、网络ACL、VPC流日志和VPC访问控制，结合路由表，可实现多层次的安全架构，使安全控制与应用的可扩展性、可用性和性能要求相匹配。

2.1 安全组

安全组是一种虚拟防火墙，用于控制VPC中所有实例级别的入站和出站流量。每个VPC都有默认安全组，若启动实例时未分配安全组，AWS会自动分配默认安全组。每个实例最多可分配五个