我应该在 Amazon VPC 中的何处设置临时环境？和测试？

Question

我在俄勒冈州的 Amazon VPC 中为我的服务设置了生产环境：

• 2 个可用区
• 每个可用区中有 1 个公共子网（包括堡垒、nat 和 ELB）和 3 个私有子网（数据库、Web 服务器和配置/监督）。
• 11个安全组

目前大约有 25 个虚拟机，希望它会增长。

现在我要设置登台环境，但我不确定把它放在哪里：

1. 我应该简单地将临时实例放在生产实例旁边吗？基本上，只需重复使用相同的 Amazon 区域、相同的可用区、相同的子网和相同的安全组？我只需要创建指向暂存实例的新 ELB，就是这样。简单的。
2. 或者我应该将暂存实例放在它们自己的子网中，但仍然在相同的区域/可用区中？但是，公共子网必须相同，因为在一个可用区中不能有两个公共子网。拥有单独的子网可能会使管理更容易，而且我可以拥有专用的路由规则，以通过不同的 nat 实例以及可能的不同堡垒。更复杂，但更严格的安全性。我想我可能不需要将安全组加倍，因为我可以有一个整体网络 ACL 来禁止生产和暂存子网之间的流量。
3. 还是应该在不同的 VPC 中复制整个设置？由于每个 Amazon 区域我只能拥有一个 VPC，因此我必须在单独的区域中执行此操作。

登台环境的重点是与生产环境相同（或尽可能接近）。所以在不同的亚马逊地区设置临时环境感觉是错误的：这排除了选项 3，不是吗？

选项 1 最接近于尽可能接近生产的目标。但是在同一个子网中拥有临时环境和生产环境感觉有点像潜在的安全问题，对吧？所以我有点倾向于选项 2，但我想知道潜在的安全问题是否严重到足以证明需要管理两倍的子网？

那么测试环境呢？它也应该类似于生产，但它不需要如此紧密地匹配：一切都可以适合几个实例，不需要 ELB 和一切。也许这个环境可以全部放入同一个 VPC 中的单个专用子网中？在同一个 VPC 中，它可以轻松访问 git 存储库和厨师服务器以及监督工具和 openvpn 访问等。

相信很多人都经历过这些考虑吧？你怎么看？

谢谢。

Answer 1

我认为选项 3 是最好的隔离级别，可以防止生产环境受到临时环境更改的影响。此外，您对每个区域一个 VPC 的假设似乎是错误的。据我所知，一个区域内可以创建多个VPC。

“由于每个 Amazon 区域只能拥有一个 VPC，因此我必须在单独的区域中执行此操作。”