AWS VPC - Интернет-шлюз против NAT

Интернет-шлюз

Интернет-шлюз - это логическое соединение между Amazon VPC и Интернетом. Это не физическое устройство. Только один может быть связан с каждым VPC. Он не ограничивает пропускную способность подключения к Интернету. (Единственное ограничение на пропускную способность - это размер инстанса Amazon EC2, и оно применяется ко всему трафику - внутреннему для VPC и исходящему в Интернет.)

Если у VPC нет интернет-шлюза, то к ресурсам в VPC нельзя получить доступ из Интернета (если трафик не проходит через корпоративную сеть и VPN / Direct Connect. ).

Подсеть считается общедоступной подсетью, если в ней есть таблица маршрутов, которая направляет трафик на Интернет-шлюз.

Экземпляр NAT

Инстанс NAT - это инстанс Amazon EC2, настроенный для перенаправления трафика в Интернет. Его можно запустить из существующего AMI или настроить с помощью пользовательских данных следующим образом:

#!/bin/sh
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 0 > /proc/sys/net/ipv4/conf/eth0/send_redirects
/sbin/iptables -t nat -A POSTROUTING -o eth0 -s 0.0.0.0/0 -j MASQUERADE
/sbin/iptables-save > /etc/sysconfig/iptables
mkdir -p /etc/sysctl.d/
cat <<EOF > /etc/sysctl.d/nat.conf
net.ipv4.ip_forward = 1
net.ipv4.conf.eth0.send_redirects = 0
EOF

Экземпляры в частной подсети, которые хотят получить доступ к Интернету, могут перенаправлять свой связанный с Интернетом трафик на экземпляр NAT через конфигурацию таблицы маршрутов. Экземпляр NAT затем отправит запрос в Интернет (поскольку он находится в общедоступной подсети), и ответ будет перенаправлен обратно в частный экземпляр.

Трафик, отправляемый на экземпляр NAT, обычно отправляется на IP-адрес, который не связан с самим экземпляром NAT (он будет предназначен для сервера в Интернете). Поэтому важно отключить параметр Проверка источника / назначения на экземпляре NAT, иначе трафик будет заблокирован.

Шлюз NAT

AWS представила службу шлюза NAT, которая может заменить экземпляр NAT. Преимущества использования службы шлюза NAT:

• Это полностью управляемая служба - просто создайте ее, и она будет работать автоматически, включая восстановление после сбоя.
• Он может разорвать до 10 Гбит / с (инстанс NAT ограничен полосой пропускания, связанной с типом инстанса EC2)

Тем не мение:

• Группы безопасности нельзя связать со шлюзом NAT.
• Вам понадобится по одному в каждой зоне доступности, поскольку они работают только в одной зоне доступности.

Что касается шлюза NAT и экземпляра NAT, то оба варианта будут работать. Экземпляр NAT может быть немного дешевле, но шлюз NAT полностью управляется AWS, поэтому у него есть то преимущество, что ему не нужно поддерживать экземпляр EC2 только для NAT.

Однако для экземпляров, которые должны быть доступны в Интернете, шлюз / экземпляры NAT - не то, что вы ищете. NAT позволит частным экземплярам (без общедоступного IP-адреса) получать доступ в Интернет, но не наоборот. Итак, для экземпляров EC2, которые должны быть доступны в Интернете, вам необходимо назначить общедоступный IP-адрес. Есть обходной путь, если вам действительно нужно сохранить частные экземпляры EC2 - вы можете использовать эластичный балансировщик нагрузки для проксирования запросов.

Интернет-шлюзы

Интернет-шлюз - это то, как ваш VPC подключается к Интернету. Вы используете Интернет-шлюз с таблицей маршрутов, чтобы сообщить VPC, как Интернет-трафик попадает в Интернет.

Интернет-шлюз отображается в VPC как просто имя. Amazon управляет шлюзом, и у вас нет ничего, о чем вы действительно можете сказать (кроме того, использовать его или нет; помните, что вам может потребоваться полностью сегментированная подсеть, которая вообще не может получить доступ к Интернету).

Под общедоступной подсетью понимается подсеть, в которой интернет-трафик маршрутизируется через интернет-шлюз AWS. Любому экземпляру в общедоступной подсети может быть назначен общедоступный IP-адрес (например, экземпляр EC2 с включенным "ассоциированным общедоступным IP-адресом").

Частная подсеть означает, что экземпляры не являются общедоступными из Интернета. У них НЕТ публичного IP-адреса. Например, вы не можете получить к ним доступ напрямую через SSH. Однако экземпляры в частных подсетях могут по-прежнему получать доступ к Интернету сами (т. Е. Используя шлюз NAT).

Интернет-шлюз используется для подключения vpc к Интернету, а шлюз NAT используется для подключения частной подсети к Интернету (что означает, что любой трафик поступает в экземпляр частной подсети, который будет перенаправляться на шлюз NAT). вам нужно перенаправить трафик в таблице маршрутов на NAT

Таблица маршрутов 0.0.0.0/0