AWS VPC - 为什么要有私有子网？

Question

在 Amazon VPC 中，VPC 创建向导允许创建单个“公有子网”或让向导创建“公有子网”和“私有子网”。最初，出于安全原因，公共和私有子网选项似乎很好，允许将 Web 服务器放在公共子网中，将数据库服务器放在私有子网中。

但后来我了解到，除非您将 Amazon ElasticIP 与 EC2 实例相关联，否则无法从 Internet 访问公共子网中的 EC2 实例。因此，似乎只需要一个公共子网配置，就可以选择不将 ElasticIP 与数据库服务器相关联，并最终获得相同类型的安全性。

任何人都可以解释公共 + 私有子网配置的优点吗？此配置的优势是否更多地与自动缩放有关，还是拥有单个公共子网实际上不那么安全？

Answer 1

拥有一个私有子网是一个安全边界，您可以使用公有子网中的不同安全组来控制该子网。如果您的公共子网中的实例之一被黑客入侵，那么如果您的访问策略不太宽松，那么入侵私有子网中的实例就会变得更加困难。