用户阿里云的用户都知道,AWS跟阿里ecs相比,复杂多了,所以这里记录一下基本的搭建过程。以下部分不分顺序。以简述为主。
简述
1.VPC和网段是为了定义网段,其他什么也没做。
2.Internate网关和NAT网关都是网关,是网络的关卡,所以不论是那个子网都应该走关卡才能出网,”允许出公网的子网“应该走internate网关,“允许走堡垒机(走统一公网出)”应该走NAT网关来转换内部ip地址到“子网的公网”的ip地址(有点绕)。
3.当你创建Internate网关和NAT网关的同时,会创建eni(网络接口,虚拟网卡),试想,没有虚拟网卡,流量怎么出网? (不论是出内网,还是出公网,只要是内部vpc流量都需要出)
4. ACL 和 安全组的区别? ACL是针对VPC的,安全组是针对EC2的,VPC可以全局对网络层面做流量控制,EC2可以对机器的进出做流量控制。
5. 可用区是机房的位置,假如A机房爆炸了,B机房可以顶住(容灾),所以为什么AWS VPC要强制跨两个可用区。
正确的创建流程
VPC ==> 3个子网(至少跨两个可用区) ==> NAT网关(子网-私出口) + Internet网关(子网-公出口) ==> 路由表(设置子-公网,子-私网 的 IP寻址 下一跳 ) 一般跳网关 ==> ACL 权限控制 ==> 公+私安全组 ==> 弹性IP绑定“子网-公 ==> 开EC2机器”
VPC
创建一个网段,这样你的ec2机器就属于这个网段,可以配置堡垒机,公网私网等。
子网
创建三个子网,注意至少要夸两个可用区(aws强制的,为了容灾),网段在你第一步创建的网段基础上,创建”子网的子网“(计算机网络基础知识),比如 192.166.0.0/16 包括 (192.166.1.0/24 + 192.166.2.0/24 + 192.166.3.0/24)
路由表
NAT网关在后面会创建,要确保所有ip私网路由跳NAT统一出口,公网路由直接从igw(aws默认网关)出。
Internet 网关
VPC绑定到你选择的192.166.0.0
IP 和 网络接口
创建vpc的时候,会自动创建一个网络接口。
相当于给网卡绑了一公网ip,让他走这个ip出
NAT网关
ACL
负责入站,出站规则控制,建议全开。
安全组
原理差不多,建议把acl开到最大流量,端口权限在安全组配置。
EC2
建议使用ubuntu,不要选amazon centos,有很多坑。
注意:开启自动分配公有ip
”公网vpc“下创建机器,自动绑一个虚拟网卡(eni),然后走这个弹性ip出网。
总而言之,你创建完毕后自动分配的公有ip就是你22端口连接的ip。堡垒机必须放在公网VPC下面。