标签: amazon-vpc

我在玩 AWS。我创建了一个 VPC（带有 10.1.0.0./24 net）和两个附加到它的 EC2 实例。一个 EC2 有 10.1.0.4 ，第二个 10.1.0.5 。我为 VPC 分配了一个弹性 IP 并将其关联到属于 10.1.0.4 EC2 实例的网络接口。VPC 是我创建的自定义 VPC。对我来说最重要的一件事是，公共 IP 必须保留（支付提供商要求这样做）。问题是，从第一个 EC2 (10.1.0.4) 我可以访问 Internet 但从第二个 (10.1.0.5) 完全不可能。必须说，第一个 EC2 (.0.4) 应该是 WebServer，而第二个 (.0.5) 是数据库服务器。

我究竟做错了什么？以上配置是否适合我想要实现的目标？

提前感谢您提供任何提示。

彼得

我们目前正在使用一组 Amazon EC2-classic 服务器来托管我们的实时和登台环境。我们在每个环境中都有几个 Web 服务器和一个后台工作服务器。然后，我们还获得了几台用于构建和部署的服务器。

我们最近决定，因为我们的一些服务器的偶然性质将它们移动到 T2 服务器类型（这是我们的构建和部署服务器）。但是，T2 类型只能在 VPC 中启动。

所以我们已经建立了一个 VPC 并成功地让它们运行，一切都很好。

问题是我们希望能够让我们的部署服务器能够与特定端口上的 Web 服务器通信。以前我们在安全组中设置了这个，所以那些 web 服务器只会监听那个端口上的部署服务器，没有其他人可以与之交谈。

现在，虽然我来到 Web 服务器来编辑它们的安全组，以说允许来自 VPC 部署服务器的流量通过其服务器组在该端口上进行。但是亚马逊告诉我“您不能在 VPC 组和非 VPC 组之间定义规则”。但是，我想不出任何其他方式可以说允许从此 VPC 中的服务器进行访问。我显然可以将我的部署服务器的公共 IP 硬编码到允许列表中，但我认为如果我要停止和启动部署服务器，这可能会改变，所以这不是一个好的解决方案。

我也可以将我所有的服务器移动到 VPC，但我宁愿避免移动所有其他服务器，包括我们的实时 Web 服务器只是为了让它工作，因为这看起来工作量很大（考虑到它不仅需要一组安全性规则并将它们转换为 VPC 规则等）。

那么我如何定义一个规则，表明 EC2-classic 服务器只能通过 VPC 中的特定服务器连接到端口 xyz？

我正在尝试使用 AWS VPC 终端节点来访问 S3 资源，但没有运气。你能帮忙吗？

细节：

我在安全组中有一个 EC2 实例。它位于 VPC 和子网内，具有互联网端点和 0.0.0.0/0 的路由表条目。但是，我不希望这个特定的 EC2 实例能够与互联网通信，但我确实希望它能够与位于https://s3-eu-west-1.amazonaws.com的 S3 存储桶通信/XXXXX/YYYYYY.sh。

作为回应，我重载了 securityGroup 上的默认允许出口规则，因此通过向端口 22 添加出口规则来拒绝出站连接。亚马逊文档告诉我，本地（私有）AWS 地址仍将被允许。考虑到这一点，我在我的 VPC 中添加了一个 VPC 终端节点，并使用 pl-6da54004 (com.amazonaws.eu-west-1.s3) :: vpce-9f47a1f6 更新了我的路由表。

完成此操作后，我无法从 EC2 实例中访问我的 S3 资源。我尝试 wget https://s3-eu-west-1.amazonaws.com/XXXXX/YYYYYY.sh没有运气。

你知道有什么问题吗？我的想法是：

• 我的 ec2 实例似乎将 S3 域解析为 54.231.130.244，但这对于每个实例都不同。我是否需要为 S3 IP 范围添加 securityGroupEgress 规则或路由？如果是，范围是多少？
• 也许我应该通过不同的域名访问我的 S3 资源，而不是解析为内部 IP 地址？

谢谢你，托比

假设我有帐户A和B以及每个帐户中的轻型帆实例a和b。a和b处于相同的区域和区域。难道possiple了一个和b与私有IP互连？例如，在我登录a 后，我可以使用b的私有 IP ssh 到b吗？