NAT 网关和阻止入站流量的 ACL 之间有什么区别

Question

我阅读了有关 aws VPC 的内容，并尝试寻找使用 NAT 的任何意义。如果我理解正确的话，当我们拥有具有两个子网（公共子网和私有子网）的 VPC 时，就会使用 NAT。如果我们想允许私有子网向全球网络发出请求（例如软件更新），但阻止所有入站流量 - 我们可以在公共子网中设置 NAT 并将该 NAT 与私有子网连接。

但同时我们可以为私有子网创建 ACL 并阻止所有入站流量。因此，如果需要，它将能够下载软件更新。

那么，如果以上都是正确的，为什么我们需要 NAT？

Answer 1

网络访问控制列表 (NACL) 是无状态的。这意味着规则是双向执行的。因此，在您的场景中，两个方向的流量都会被阻塞。

一般来说，不需要使用 NACL。有一些适当的用途（例如创建 DMZ），但这些用途很少。

如果您愿意，您可以将所有内容放在公共子网中，并简单地使用安全组来控制访问。这会很有效，因为入站和出站规则可以单独配置。然而，许多人喜欢私有子网的传统概念，以增加安全感。