具有固定 IP 的 AWS 客户端 VPN

Question

为了让我们的开发人员能够访问 IP 受限的内部和合作伙伴应用程序，我正在设置 AWS 客户端 VPN。即使可以访问互联网，我也设法让一切正常运行。正如预期的那样，公共 IP 正在发生变化。

我创建了一个 NAT 网关，分配了一个弹性 IP，并更改了子网的路由以使用 NAT 网关而不是 Internet 网关来访问 Internet (0.0.0.0/0)。

现在的问题是，客户端一旦连接到 VPN 就根本无法访问互联网。我缺少什么部分才能使互联网访问再次正常工作并使用具有静态 IP 的 NAT 网关？

设置绝对是基本的。1 个新 VPC、1 个子网、1 个客户端 VPN 终端节点、1 个安全组。

Answer 1

您的设置非常常见，可能只是一个简单的错误。您遵循的模式是私有/公有子网，尽管这些术语在 AWS 中使用得不多。

当您的子网配置为使用 NAT 网关（作为路由表中的路由）时，该子网可称为“私有子网”，因为Internet0.0.0.0/0无法直接访问该子网。

但 NAT 网关本身需要放置在“公共子网”上，即需要位于默认路由0.0.0.0/0到达 Internet 网关的子网中。（不在您的问题范围内，但这与负载均衡器犯的常见错误相同。如果您有一个应该为互联网中的用户提供服务的负载均衡器，即使您的服务器位于私有子网中，也需要将负载均衡器部署到公共子网）。

总结一下：

| Subnet # | Type    | Default Route (route table)   | What to place here? |
|----------|---------|-------------------------------|---------------------|
| 1        | Public  | 0.0.0.0/0 -> Internet Gateway | NAT Gateway         |
| 2        | Private | 0.0.0.0/0 -> NAT Gateway      | Users' applications |