在aws vpc中使用私有子网的原因是什么？

-1

我想在创建新的VPC时评估私有和公有子网。离开来自互联网的入站流量是继续使用私有子网的唯一原因吗？在考虑私人子网时，还需要考虑这些要点。在aws vpc中使用私有子网的原因是什么？

NAT网关是收费的 - 每GB传输的数据为0.045美元/小时和0.045美元。所以有成本考虑。我需要NAT网关从互联网上获取代码或更新。
我应该能够通过使用具有不同严格级别的安全组来保护公共子网中的实例。
当启动一个实例时，我会将一个公共IP分配给那些我想从VPC之外访问的实例。

我经历了this的问题，但它并没有解决我对以上几点的疑惑。任何帮助表示赞赏。

2016-12-21 shshnk

我相信[我对您引用的问题的回答]（https://stackoverflow.com/a/22212017/1695906）确实解决了所有这些问题。特别是，如果没有私有子网和NAT实例（廉价）或NAT网关（功能强大且具有弹性），没有公共IP地址访问Internet的实例没有机制（下载软件更新？访问外部API？）*或访问大多数AWS服务*（例如DynamoDB，SQS，SNS）。 –

@ Michael-sqlbot对于你拿出详细答案的时间，我有所有的尊重。说实话，我并不知道在公有子网内但没有公共IP的情况下，如果没有NAT，无法访问互联网。将这些实例放入私有子网是有意义的。 – shshnk

回答您的问题：

使用NAT实例（t2.small或m3.medium），而不是NAT网关。更便宜。
为什么在公共子网中启动它们，然后调整安全组，如果不需要接受传入的Internet通信。在SG规则中总会有一个错误的机会，并且无意中允许恶意的流量。即使你要接受互联网流量的话，建议使用反向代理像haproxy
然后只启动这些实例在公共子网或使用反向代理

私人子网是一个非常有用的功能，以保护您的来自DDoS的实例，未经授权的访问等。为方便起见，请不要绕过它。

来源

2016-12-21 16:37:43 helloV

感谢您的回复。是的，我可以使用更便宜的NAT网关的非现场实例。 – shshnk

在aws vpc中使用私有子网的原因是什么？

回答

相关问题