amazon-web-services - AWS NAT 网关与用于传出 Internet 连接的公共(public) IP

Question

我正在学习 AWS 以及如何为 EC2 实例配置网络并且有几个问题。我在 t2.micro 实例中使用 CentOS 7。

私有(private) IP 与实例中的 NIC 绑定(bind)，如 ifconfig -a 所示。 .目的似乎是服务器的单点联系。添加另一个网络接口(interface)不会添加另一个 NIC，如 ifconfig -a 所示。 .由于主网络接口(interface)不能是静态 IP，因此大多数配置都需要辅助网络接口(interface)。例如，要将应用程序连接到数据库服务器，请使用分配给第二个网络接口(interface)的静态 IP。我是否正确理解这一点？

公共(public) IP 显示在 AWS 控制台中，并提供了一种通过 SSH 连接到实例的方法，假设您配置了 SG。公共(public) IP 还提供了一种访问 Internet 以进行系统更新的方法。这似乎与 NAT 的 AWS 文档相矛盾。 .如果公共(public) IP 已经提供互联网访问，为什么需要 NAT(实例或网关)？这是引用文档引用的系统更新。

You can use a NAT device to enable instances in a private subnet to connect to the Internet (for example, for software updates) or other AWS services, but prevent the Internet from initiating connections with the instances. A NAT device forwards traffic from the instances in the private subnet to the Internet or other AWS services, and then sends the response back to the instances.

是否始终为每个实例分配公共(public) IP 和私有(private) IP？我还没有完成创建 [新] AMI 来验证是否可以选择没有公共(public) IP 的过程。如果实例没有公共(public) IP，AWS 控制台 Connect按钮仍然允许您连接到它来管理服务器？什么情况下实例没有公网IP？您如何连接到该实例来管理它？

我已阅读 NAT Gateway文档并了解其中的大部分内容。我无法理解那些声明 NAT 网关或互联网网关是启用互联网访问所必需的部分，而这似乎是默认启用的。我错过了什么？

Answer 1

我认为您的困惑源于您的第三个问题。公共(public) IP 并不总是分配给实例。公共(public) IP 是您可以在公共(public) VPC 子网中启用或禁用的选项，而在私有(private) VPC 子网中，公共(public) IP 根本不是一个选项。对于没有公共(public) IP 的 EC2 实例，需要 NAT 网关(或 NAT 实例)才能访问 VPC 之外的任何内容。

您可能希望将数据库服务器之类的东西放在私有(private)子网中，这样您的 VPC 之外的任何东西都无法访问它。但是，您可能希望数据库服务器能够访问 Internet 以下载补丁或其他东西，或者您可能希望它访问 AWS API 以便将备份复制到 S3 或其他东西，在这种情况下，您需要一个 NAT 网关来为服务器提供对 VPC 外部资源的访问权限。