AWS - 网络服务组件

一直以来在用AWS搭建一些分布式的服务，要知其然，知其所以然，抽空对相关的理论进行了梳理和总结，特在此记录和分享。

1 VPC（Virtual Private Cloud）

1.1 介绍

Amazon VPC是AWS的虚拟网络，实现了AWS云的物理隔离，我们可以将EC2放置于VPC内。

创建VPC时，需要以CIDR (Classless Inter-Domain Routing)块形式指定一个IPv4地址范围; 例如,10.0.0.0/16。

一个VPC可以跨越区域内所有的可用分区。 下图以新建带有IPv4 CIDR块的VPC为例进行说明。

创建一个 VPC后可以附加一个或多个subnet到每个Availability zone.

1.2 实战

什么是IPv4 CIDR块？

它是无类别域间路由 (Classless Inter-Domain Routing) 的缩写。

这就是要指定IP范围的方式。

符号是 / 。

先以10.0.0.0/16为例。

数字16为掩码，它决定IP范围。

这里的IP是IPv4。它由32位组成，每次按8位（八位位组）分组，用点分隔。因此，在示例10.0.0.0中，二进制表示为：00001010.00000000.00000000.00000000。

16作为掩码，从左到右用数字“1”表示，形成一个IP地址格式。结果是11111111.11111111.00000000.00000000。

可以在网络内使用掩码上有0的位置。这意味着，如果将最后两个八位字节中的所有剩余位用于网络，IP范围将是00001010.00000000.00000000.00000000至00001010.00000000.11111111.11111111，或小数位10.0.0.0至10.0.255.255。

如果掩码为24或11111111.11111111.11111111.00000000，则只获取最后一个八位字节。

2 互联网网关

2.1 介绍

顾名思义，为了使VPC能够访问互联网，就必须将其连接上互联网的网关。

internet gateway是可水平扩展的、冗余的、高可用的VPC组件，用于VPC与internet之间的通信。

作用：

• 提供一个用于在VPC route table内部路由通信的目标，
• 实例到公有IPv4地址的网络地址转换（NAT）

2.2 实战

3 Subnet

3.1 介绍

子网是 VPC 内的 IP 地址范围，可以在指定子网内启动AWS资源。对必须连接互联网的资源使用公有子网，而对将不会连接到互联网的资源使用私有子网。

每个子网必须完全位于一个可用分区内，不能跨越多个可用分区。

3.2 实战

指定掩码“24”。

转换为二进制的24掩码是11111111.11111111.11111111.00000000。因此，前三个八位字节已经保留，唯一的空间是最后一个八位字节。子网的IP范围是从10.0.0.1到10.0.0.255的范围。

当VPC内只有一个subnet时，subnet的CIDR block可以于VPC的相等；

当VPC内有多个subnet时，subnet的CIDR block是VPC的子集，多个subnet的CIDR blocks不可重复。

For example, if you create a VPC with CIDR block 10.0.0.0/24, it supports 256 IP addresses. You can break this CIDR block into two subnets, each supporting 128 IP addresses. One subnet uses CIDR block 10.0.0.0/25 (for addresses 10.0.0.0 - 10.0.0.127) and the other uses CIDR block 10.0.0.128/25 (for addresses 10.0.0.128 - 10.0.0.255).

例如：我们创建一个VPC 的CIDR block 10.0.0.0/24，支持256个IP地址。我们将这个CIDR block分为两个subnet，每个subnet支持128个IP地址。

subnet-01 的CIDR block：10.0.0.0/25 (25掩码是11111111.11111111.11111111.10000000，可以使用的IP：

10.0.0.0 - 10.0.0.127 =》

00001010.00000000.00000000.00000000 - 00001010.00000000.00000000.10000000

subnet-02 的CIDR block：10.0.0.128/25 (25掩码是11111111.11111111.11111111.10000000，可以使用的IP：

10.0.0.128 - 10.0.0.255 =》

00001010.00000000.00000000.10000001 - 00001010.00000000.00000000.11111111

4 NACL/Route Table

4.1 NACL

NACL允许用户指定网络的入站和出站流量规则。

可以根据协议类型（如HTTP，TCP，UDP等）和端口号为网络设置任何规则。

由最低到最高给每个规则一个数字。

创建VPC时会自动创建一个NACL

4.2 Route Table

路由表包含一组称为“路由”的规则，它们用于确定将网络流量从您的 VPC 发送到何处。您可以将子网与特定路由表显式关联。否则，子网将与主路由表隐式关联。

路由表中的每个路由都指定了您希望将流量传输到的 IP 地址范围（目的地）以及发送流量所通过的网关、网络接口或连接（目标）。

网关路由表 — 与互联网网关或虚拟私有网关关联的路由表。

要使子网能够通过互联网网关访问 Internet，请将以下路由添加到子网路由表中。路由的目的地为 0.0.0.0/0，表示所有 IPv4 地址。目标是连接到您的 VPC 的互联网网关。

目标	目标
0.0.0.0/0	igw-id

创建两个路由表，将其命名为RT1和RT2。

对于RT1，打开“路线选项卡”，然后单击“编辑路线”。添加目标为0.0.0.0/0的路由，目标是刚创建的互联网网关。

这意味着0.0.0.0/0将其他流量引导到互联网网关，以便它可以访问互联网。单击“保存路由”，然后转到“子网关联选项卡”。

单击“编辑子网关联”并添加之前创建的名为Ellen-subnet-public-01的子网

这就是如何使子网公开；将它与一个路由表关联，该路由表的目的地是互联网网关。

总结

当VPC中的子网中的实例能够访问internet时，需要执行以下操作。

创建 internet gateway ，并将其attach到VPC中

将路由添加到subnet的route table 中，将internet绑定的流量定向到internet网关。

确保子网中的实例具有全局唯一的IP地址(公共IPv4地址、弹性IP地址或IPv6地址)。

确保network access control lists和security group规则允许相关流量进出您的实例。