AWS VPC - Інтернет-шлюз проти NAT [закрито]

Що таке Інтернет-шлюз? Що таке інстанція NAT? Які послуги вони пропонують?

Читаючи документацію AWS VPC, я збираю обидві карти приватних IP-адрес на адреси Інтернет-маршруту для вихідних запитів і маршрутизую вхідні відповіді з Інтернету до запитувача в підмережі.

То які відмінності між ними є? У яких сценаріях я використовую інстанцію NAT замість (або крім того) Інтернет-шлюзу? Це по суті випадки EC2, які запускають деякі мережеві програми, або вони є спеціальним обладнанням, як маршрутизатор?

Замість того, щоб просто вказувати на посилання на документацію AWS, чи можете ви пояснити їх, додавши деякі відомості про те, що є публічними та приватними підмережами, щоб будь-який новачок з обмеженими знаннями в мережі може зрозуміти це легко? Також коли я повинен використовувати NAT Gateway замість NAT екземпляра?

PS Я новачок у AWS VPC, тому я можу тут порівнювати яблука з апельсинами.

Інтернет-шлюз

Інтернет-шлюз - це логічний зв'язок між VPC Amazon та Інтернетом . Це не фізичний пристрій. З кожним VPC може бути асоційований лише один. Це не обмежує пропускну здатність підключення до Інтернету. (Єдиним обмеженням пропускної здатності є розмір екземпляра Amazon EC2, і він застосовується до всього трафіку - внутрішнього до VPC та до Інтернету.)

Якщо VPC не має Інтернет-шлюзу, то до ресурсів VPC не можна отримати доступ з Інтернету (якщо трафік не протікає через корпоративну мережу та VPN / Direct Connect).

Підмережа вважається загальнодоступною підмережею, якщо вона має таблицю маршрутів, яка спрямовує трафік до Інтернет-шлюзу.

Примірник NAT

Примірник NAT - це екземпляр Amazon EC2, налаштований для пересилання трафіку в Інтернет. Його можна запустити з існуючого AMI або налаштувати за допомогою даних користувача таким чином:

#!/bin/sh
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 0 > /proc/sys/net/ipv4/conf/eth0/send_redirects
/sbin/iptables -t nat -A POSTROUTING -o eth0 -s 0.0.0.0/0 -j MASQUERADE
/sbin/iptables-save > /etc/sysconfig/iptables
mkdir -p /etc/sysctl.d/
cat <<EOF > /etc/sysctl.d/nat.conf
net.ipv4.ip_forward = 1
net.ipv4.conf.eth0.send_redirects = 0
EOF

Примірники приватної підмережі, які хочуть отримати доступ до Інтернету, можуть перенести пов'язаний з Інтернетом трафік до інстанції NAT через конфігурацію таблиці маршрутів. Потім інстанція NAT подасть запит до Інтернету (оскільки він знаходиться у загальнодоступній підмережі), і відповідь буде передано назад у приватний екземпляр.

Трафік, що надсилається до інстанції NAT, як правило, надсилатиметься на IP-адресу, яка не пов’язана з самим інстантом NAT (він буде призначений для сервера в Інтернеті). Тому важливо вимкнути параметр " Перевірка джерела / призначення " на інстанції NAT, інакше трафік буде заблокований.

NAT шлюз

Компанія AWS представила службу шлюзу NAT, яка може зайняти місце інстанції NAT. Переваги використання послуги NAT Gateway:

• Це повністю керований сервіс - просто створіть його і він працює автоматично, включаючи відмову
• Він може лопнути до 10 Гбіт / с (екземпляр NAT обмежений пропускною здатністю, пов'язаною з типом екземпляра EC2)

Однак:

• Групи безпеки не можуть бути асоційовані з шлюзом NAT
• Вам знадобиться по одному в кожному AZ, оскільки вони працюють лише в одному AZ

Що стосується NAT шлюзу проти NAT, то будь-який буде працювати. Примірник NAT може бути дещо дешевшим, але NAT-шлюзом повністю управляється AWS, тому він має перевагу в тому, що не потрібно підтримувати екземпляр EC2 лише для NATing.

Однак для випадків, які повинні бути доступними в Інтернеті, шлюз / екземпляри NAT - це не те, що ви шукаєте. NAT дозволить приватним екземплярам (без публічного IP-доступу) отримувати доступ до Інтернету, але не навпаки. Отже, для випадків EC2, які повинні бути доступні в Інтернеті, вам потрібно призначити загальнодоступну IP-адресу. Існує рішення, якщо вам справді потрібно зберегти приватні екземпляри EC2 - ви можете використовувати еластичний балансир навантаження для розміщення запитів.

Інтернет-шлюзи

Інтернет-шлюз - це спосіб підключення VPC до Інтернету. Ви використовуєте шлюз Інтернету з таблицею маршрутів, щоб повідомити VPC, як інтернет-трафік потрапляє до Інтернету.

Інтернет-шлюз з'являється у VPC як лише ім'я. Amazon керує шлюзом, і немає нічого, про що ви дійсно не можете сказати (крім того, використовувати його чи ні; пам’ятайте, що ви можете мати повністю сегментовану підмережу, яка взагалі не може отримати доступ до Інтернету).

Загальнодоступна підмережа - це підмережа, яка має інтернет-трафік, що проходить через Інтернет-шлюз AWS. Будь-який примірник у загальнодоступній підмережі може мати присвоєний йому публічний IP-адрес (наприклад, екземпляр EC2 з увімкненим "асоціювати публічну ip-адресу").

Приватна підмережа означає, що примірники не є загальнодоступними з Інтернету. Вони НЕ мають публічної IP-адреси. Наприклад, ви не можете отримати доступ до них безпосередньо через SSH. Примірники приватних підмереж все ж можуть самі отримувати доступ до Інтернету (тобто, використовуючи NAT шлюз).

Інтернет-шлюз використовується для підключення vpc до Інтернету, а шлюз NAT використовується для підключення приватної підмережі до Інтернету (це означає, що будь-який трафік надходить до приватного екземпляра підмережі, який буде спрямований на шлюз NAT). вам потрібно перенаправити трафік у таблиці маршрутів до NAT

Таблиця маршрутів 0.0.0.0/0