为什么我们需要AWS中的私有子网+ NAT转换？我们不能只使用公共子网+正确配置的安全组吗？

Question

因此,AWS中私有子网的目的是使其实例无法直接从外部访问.然而,有些情况(成功抵制'实例'双关语),其中实例可以访问互联网.一个这样的用例可以是例如下载软件更新.

实现这一目标的"标准"方法是使用NAT网关和路由表中的规则,将所有出站流量指向它(0.0.0.0/0 - > nat-gw).

令我困惑的是:我们不能只使用具有正确配置的安全组(SG)的公有子网来拒绝入站流量并允许特定的出站流量吗？由于SG是有状态的,它们应该允许对出站流量的响应通过,就像NAT网关一样.

我假设我只是遗漏了一些东西,或者上面的配置在某些方面受到限制,我只是没有看到.但是我无法找到答案.

Answer 1

简单的答案是......你是对的!

您当然可以在公共子网中启动所有内容,并使用安全组来控制实例之间的流量并限制来自Internet的入站访问.

人们使用公共和私有子网,因为这是传统设计网络的方式,当防火墙仅存在于子网之间时.安全组是在弹性网络接口上工作的附加安全层,但对于许多网络专业人员(包括设计合规性要求的人员)而言,这有点可怕和新的.

Answer 2

1. 遵从性是人们选择拥有私有子网的主要原因之一。许多公司，特别是金融机构，都有严格的合规性要求，在这些要求中，不可能没有任何公共访问服务器的权限。创建公共子网时，可以分配一个公共IP地址，该地址可以使任何实例都可以从Internet访问（同样，只要安全组允许）。
2. 安全组是AWS在逻辑级别提供的防火墙。创建专用子网可确保即使实例属于允许访问某些端口和协议的安全组，该服务器仍将无法公开访问。
3. 您可能选择私有子网的另一个原因是，以所有公共服务器始终位于DMZ中的方式来构建基础结构。只有DMZ可以访问互联网。其他所有内容都在专用子网中。万一出现问题，可以关闭对DMZ的访问，并可以防止进一步的损坏。