AWS VPC 子网路由表最佳实践

Question

在 AWS 中，我们有类似于公共子网和私有子网的子网。

为了简化问题，我仅指私有子网。

我知道我们可以对所有可用区中的私有子网使用单个路由表，或者我们可以对所有可用区中的每个私有子网使用多个路由表（每个可用区一个）。

我的问题是，设计这个的最佳实践是什么？我应该为每个可用区中的子网创建不同的路由表还是应该为所有可用区中的子网创建单个路由表？推荐的方法是什么？推荐的方法有什么优点？

请注意，我问这个问题的原因是，我已经看到这两种方法在不同的环境中使用，并试图了解什么是好的方法。

Answer 1

最终这取决于您自己的要求，但是这里有一些需要考虑的要点。

公共子网

您的公有子网是否有独特的不同？如果它们在许多人遵循的模式中都相同（每个可用区一个公共子网），那么您可能会发现为公共子网使用单个路由表会更简单。由于互联网网关具有高可用性，并且 VPC 只能连接一个，因此如果子网都相同，则为每个子网添加路由表只会增加复杂性。

私有子网

首先要考虑的因素是，您的所有私有子网是否都能够访问互联网。如果您有应该和不应该的特定子网，您会希望将它们的路由分开。请记住，与第三方 API 交互或修补系统需要互联网。

对于那些需要互联网的私有子网，您将需要使用 NAT 设备（NAT 网关或NAT 实例）。一般来说，最佳实践是让每个可用区（而不是子网）拥有自己的 NAT 设备，这样可以防止其他可用区中的设备在 NAT 可用区遇到问题时无法连接到互联网。

在这种情况下，您将考虑每个可用区域的路由表，然后根据需要将子网绑定到正确的路由表。

VPC 到网络通信

最后要考虑的是您的 VPC 与外部网络的通信（无论是在 AWS、其他云提供商还是本地）。

如果您要连接到外部源，您需要了解该外部源是否应该能够与每个子网通信（反之亦然），或者是否只有一个特定范围可以通信。

如果您希望只有特定的子网能够与外部源通信，那么您应该考虑这些子网的路由表，并考虑到上述部分。

概括

总之，有几个因素决定您创建的路由设置。

考虑到所有这些，首先，安全性通常是最高的因素（不允许不需要的通信），但也要考虑这些的管理。如果您有 100 个子网，其中 90 个是具有相同路由的专用子网，则创建所需的最少数量的路由表。如果需求发生变化，您可以在需要时进行更改。