标签: amazon-vpc

与实例本身相比，将弹性 IP (EIP) 与接口配对有什么优势？

我看到了网络接口的重点 - 您可以根据需要将它们与实例关联和解除关联，而不会丢失配置。但是，您可以轻松地对弹性 IP 执行相同的操作，方法是将其与实例解除关联并将其与新实例关联，而不会受到任何阻碍。

我一直在使用 AWS Elasticache 阅读有关 Redis 的内容，但对安全性有点困惑。到目前为止，似乎唯一的安全措施是创建一个仅允许来自特定安全组或 IP 地址的访问的 Redis 安全组。

我可以/应该添加任何额外的安全性吗？

有没有办法将 Redis 访问安全附加到 IAM 角色？

我在AWS的不同区域有不同的VPC：

1. 10.1.0.0/16(A)
2. 10.2.0.0/16(B)
3. 10.3.0.0/16(C)

我按照这篇文章（http://cloudacademy.com/blog/openvpn-aws-vpc/）打开一个VPN连接，以便让B中的服务器实例与VPC A的私有子网中的RDS实例进行通信。

我在 ipsec.conf 中做了以下操作：

右子网=10.2.0.0/16

一切正常，但我该如何将 C 连接到 A？我需要打开另一个 OpenVPN 实例吗？我非常确定有一种方法可以实现这一点。

AWS 允许您将多个弹性网络接口 (ENI) 连接到 EC2 实例。除了“使其看起来像本地服务器”之外，是否存在实际需要多个 ENI 的情况？

我已经考虑过在本地环境中执行此操作的原因，但这些似乎都不适用于 AWS：

• 链路聚合
• 链路冗余
• 独立的管理界面
• 在线 IDS/IPS
• 内联防火墙

AWS 隐含的路由器始终“位于”每个 ENI 和其他所有设备之间，因此不可能在线放置另一个实例（例如运行嗅探器）。

亚马逊自己的文档甚至没有明确说明为什么您需要在一个实例上使用多个 ENI。它只是说多个接口“当你想要实现以下目的时很有用：”

创建管理网络。
在 VPC 中使用网络和安全设备。
创建在不同子网上具有工作负载/角色的双宿主实例。
创建低预算、高可用性的解决方案。

但它并没有解释为什么这些用例需要甚至需要 ENI。（很明显，不同子网上的双宿主实例需要多个 ENI，但这并不能解释为什么您首先需要双宿主实例）。

我能想到的唯一用例是运行容器（即 Docker）的实例，并且您希望将各个容器映射到不同子网中的主机 IP 地址。

多个 ENI（如果有）的用例是什么？

有谁知道我们应该在 2 个 AWS 区域（在本例中为 us-west-2 和 eu-west-2）之间的 VPC 对等连接上看到什么样的数据传输速度？

几周前我们对此进行了测试，发现速度超过每秒 200MB。今天，我们看到每秒约 10MB 的速度。

显然，我们在这里使用的是公共交通网络，因此我们预计会根据时间发生一些变化，但每秒 10MB 似乎非常慢。

鉴于 AWS 促进了 RDS 中数据库的跨区域复制，据推测，他们预计速度会快得多。

我正在为一家几乎不会有很多流量的初创公司建立基础设施，但应该能够在需要时进行扩展。

我们倾向于使用 LB 设置，将流量分配到专用私有子网（超过 3 个可用区）中的前端节点，然后向它们自己专用子网上的受支持节点发出请求，然后请求到mongodb 通过 atlas 和 vpc 对等互连进行管理。

为了让每个节点进行配置，它都需要访问 Internet。后端节点也会向第三方服务发出请求，因此在运行时也需要访问互联网。

我看到三个选项：

• 为每个可用区中的每个私有子网设置一个 nat 网关。根据位置，这相当于每个可用区每个子网约 30 美元。有 3 个可用区和 2 个子网，每月总计约 180 美元，这实际上比我们计划用于 ec2 实例的要多，而系统上没有太多流量和负载。我们可能可以将其减少到只在每个可用区中为所有私有子网使用 1 个 nat 网关，但仍然约为 90 美元。

• 将 ec2 实例设置为 nat 网关，这可能会便宜一些，但需要维护和设置。

• 只需使用一个私有子网，为每个节点分配公共 ip，并通过路由表条目使用 Internet 网关。我认为使用专用的私有子网没有多大意义，因为节点无论如何都应该能够通过网关相互连接。

最后一个选项很可能是最便宜的选项，因为一个弹性 ip 已经包含在 ec2 实例中，并且不需要专用网关。但是，我想知道这样做是否存在重大不利因素或风险？我们计划在需要时（比如有大量流量）重新考虑使用专用子网的想法，但我们真的希望在开始时尽可能降低成本。

我有一个 AWS VPC，错误地清除了默认 DHCP 选项集。因此，我有一些服务器的主机名错误（无法解析）并且缺少/etc/resolv.conf.

我已修复 VPC 以使用默认 DHCP 选项集。有没有办法让服务器接受这些更改？

我正在尝试创建一个 terraform 配置来启动不同区域中的多个 VPC 并在它们之间创建 VPC 对等连接。

这是我的 VPC 模块

# Required Variables

variable "region" {}
variable "cluster_name" {}
variable "region_name" {}
variable "nb_nodes" {}
variable "vpc_cidr" {}

# Default Variables

variable "instance_type" {
    default = "t2.nano"
}

variable "public_key_path" {
    default = "id_rsa.pub"
}

variable "private_key_path" {
    default = "id_rsa"
}

variable "ami-username" {
    default = "ubuntu"
}

variable "ami" {
    type = "map"

    default = {
        us-east-1 = "ami-0f9cf087c1f27d9b1"
        us-east-2 = "ami-0653e888ec96eab9b"
    }
}

variable "availability_zone" {
    type …

我的生产网络服务包括：

• 自动缩放组
• 网络负载均衡器 (ELB)
• 2 个 EC2 实例作为 Web 服务器

直到昨天，当 EC2 实例之一开始遇到 RDS 和 ElastiCache 超时时，此配置运行良好。另一个实例继续运行，没有问题。

在调查期间，我注意到传出连接通常有时会遇到很大的延迟：

[ec2-user@ip-10-0-5-9 logs]$ time curl -s www.google.com > /dev/null

real    0m7.147s -- 7 seconds
user    0m0.007s
sys     0m0.000s
[ec2-user@ip-10-0-5-9 logs]$ time curl -s www.google.com > /dev/null

real    0m3.114s
user    0m0.007s
sys     0m0.000s
[ec2-user@ip-10-0-5-9 logs]$ time curl -s www.google.com > /dev/null

real    0m0.051s
user    0m0.006s
sys     0m0.000s
[ec2-user@ip-10-0-5-9 logs]$ time curl -s www.google.com > /dev/null

real    1m6.309s -- over a minute!
user    0m0.009s
sys …

有什么方法可以将静态 IP 绑定到我的 Cloudfront 发行版？我想知道 VPC 是否可以做到这一点。我需要静态 IP 只是为了消除每次 AWS Cloudfront IP 更改时允许进入我的防火墙的问题。