amazon-web-services - 从无公网 IP 地址的 AWS VPC 实例访问 Internet

Question

我们正在设置一个 Amazon VPC，我们将在其中预置(目前)一个 EC2 实例和一个 RDS 实例。这是为了“扩展我们的数据中心”，并且应该只使用私有(private)子网。
所以实际上，我们有这个设置，并且运行良好(插入笑脸图标)。出于所有意图和目的，我们在此处反射(reflect)了 Amazon 概述的 VPC 场景 4:http://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_Scenario4.html
tl;dr:单个 VCP，带有连接到我们公司网络的 VPN。 VPN 使用虚拟专用网关(VPC 端)和客户网关(我们的端)允许我们根据需要访问 EC2，EC2 包含根据需要连接到 RDS 实例的网络服务器。我们网络上的任何人都可以通过 URL 访问在 EC2 上运行的 Web 服务器。所有这些都按预期工作。
当 EC2 实例需要访问 Internet 上的资源时，问题就出现了 - 我们的想法是我们没有任何公共(public)子网，而是通过我们的 VPN 路由来自 EC2 实例的所有流量，并通过我们公司的“标准”路径互联网。但是，我们在设置时遇到了麻烦。
可以做到这一点的事实在亚马逊的常见问题中得到了强调:
https://aws.amazon.com/vpc/faqs/

Q. How do instances without public IP addresses access the Internet?

Instances without public IP addresses can access the Internet in one of two ways:

1. Instances without public IP addresses can route their traffic through a NAT gateway or a NAT instance to access the Internet. These instances use the public IP address of the NAT gateway or NAT instance to traverse the Internet. The NAT gateway or NAT instance allows outbound communication but doesn’t allow machines on the Internet to initiate a connection to the privately addressed instances.

2. For VPCs with a hardware VPN connection or Direct Connect connection, instances can route their Internet traffic down the virtual private gateway to your existing datacenter. From there, it can access the Internet via your existing egress points and network security/monitoring devices.

我们试图避免选项 #1，因为这涉及成本(以及复杂性和安全问题)。 #2 对我们来说是完美的解决方案，但是了解设置它的过程已经有一段时间了。
谁能引导我们完成我们需要做的事情(或将我们指向正确的资源)以确保 EC2 实例* 可以通过将流量路由到 VPN、通过我们的公司数据中心和我们现有的 Internet 访问点来访问 Internet？
* 以及私有(private)子网中的任何内容

Answer 1

如果您使用的是场景 #2，那么在 AWS 端要做的就是确保发往 Internet 的流量 0.0.0.0/0路由到您的虚拟专用网关。

一旦流量到达那里，它将进入您的客户网关，并进入您的公司数据中心。如果可能的话，这取决于您本地的 IT 人员来获取以 Internet 为目的地的流量。但到那时，它不再是 AWS 问题。