Warum brauchen wir die privaten Subnetzes in der VPC?

Update: im späten Dezember, 2015, AWS angekündigt ein neues feature, ein Managed NAT-Gateway für VPC. Dieser optionale service bietet eine alternative Mechanismus für VPC-Instanzen in einem privaten Subnetz Zugriff auf das Internet, wo zuvor die gemeinsame Lösung war eine EC2-instance auf einem öffentlichen Subnetzes in der VPC, in der Funktion als "NAT-instance", bei der network address translation (technisch port address translation) für Fälle, in andere, private Subnetze, so dass diese Maschinen zu verwenden, die NAT-Instanz ist die öffentliche IP-Adresse für Ihre ausgehenden Internet-Zugang.

Den neuen managed NAT service nicht grundlegend, verändern die Anwendbarkeit der folgenden Informationen an, aber diese option ist nicht Gegenstand der Inhalte, die folgt. Eine NAT-Instanz können weiterhin verwendet werden, wie beschrieben, oder die Managed-NAT-Gateway-Dienst kann bereitgestellt werden, statt. Eine erweiterte version dieser Antwort, die Integration von mehr Informationen über NAT-Gateways und wie es im Vergleich um eine NAT-Instanz wird in Kürze sein, da diese sowohl relevant für die private - /public-subnet-Paradigma in der VPC.

Beachten Sie, dass die Internet-Gateway und NAT-Gateway sind zwei verschiedene Funktionen. Alle VPC-Konfigurationen mit Internet-Zugang über einen Internet-Gateway virtuelles Objekt.

Zu verstehen, die Unterscheidung zwischen "privat" und "öffentlich" Subnetze in Amazon VPC erfordert ein Verständnis dafür, wie IP-routing und network address translation (NAT) funktionieren im Allgemeinen, und wie Sie konkret umgesetzt in VPC.

Der Kern der Differenzierung zwischen öffentlichen und privaten Subnetzes in der VPC ist definiert durch das, was in diesem Subnetz Standard-route ist, in der VPC-routing-Tabellen.

Diese Konfiguration wiederum diktiert die Gültigkeit der Verwendung oder nicht-Verwendung, öffentliche IP-Adressen-Instanzen auf, die bestimmten Subnetz.

Jedes Subnetz hat genau eine default-route, die nur eines von zwei Dingen:

• die VPC - "Internet-Gateway" - Objekt, im Falle eines "öffentlichen" Subnetz, oder
• einem NAT-Gerät -- das ist entweder ein NAT-Gateway oder einer EC2-instance, die Durchführung der "NAT-Instanz" Rolle, in dem Fall ein "privates" Subnetz.

Dem Internet-Gateway es werden keine network address translation für Instanzen ohne öffentliche IP-Adressen, so dass eine Instanz ohne eine öffentliche IP-Adresse kann keine Verbindung nach außen dem Internet-zu tun, Dinge wie das herunterladen von software-updates oder den Zugriff auf andere AWS-Ressourcen wie S3¹ und SQS-wenn die default-route auf seine VPC-Subnetz ist der Internet-Gateway-Objekt. Also, wenn Sie eine Instanz auf einem "öffentlichen" subnet, dann müssen eine öffentliche IP-Adresse um zu tun, eine beträchtliche Anzahl von Dingen, dass die Server Häufig tun müssen.

Für Instanzen mit nur eine private IP-Adresse, es gibt eine Alternative Möglichkeit des ausgehenden Zugriff auf das Internet. Dies ist, wo Netzwerk-Adresse Translation2 und eine NAT-Instanz kommen.

Maschinen, die auf einem privaten Subnetz können auf das Internet zugreifen, weil die default-route auf einem privaten Subnetz ist nicht VPC "Internet-Gateway" Objekt-es ist eine EC2-Instanz konfiguriert als eine NAT-Instanz.

Eine NAT-Instanz ist eine Instanz, die auf ein öffentliches Subnetz mit einer öffentlichen IP, und bestimmte Konfiguration. Es sind AMIs, die sind bereits gebaut, um dies zu tun, oder Sie können Ihr eigenes bauen.

Wenn die privat adressierten Maschinen senden Verkehr nach außen, die der Verkehr gesendet wird, von VPC, um die NAT-Instanz, die ersetzt die Quell-IP-Adresse auf dem Paket (der private Rechner private IP-Adresse) mit seiner eigenen öffentlichen IP-Adresse, schickt den Datenverkehr aus dem Internet, nimmt die Antwort-Pakete und leitet Sie zurück an die private Adresse des verwendeten Computers. (Kann es auch umschreiben der source-port, und in jedem Fall, es merkt sich die Zuordnungen, also kennt er die internen Rechner erhalten sollte, die Antwort-Pakete). Eine NAT-Instanz erlaubt keine "unerwarteten" inbound-traffic zu erreichen, die privaten Instanzen, es sei denn, es wurde explizit dazu konfiguriert.

So, wenn der Zugriff auf externe Internet-Ressource aus einem privaten Subnetz, das der Datenverkehr durchläuft die NAT-Instanz, und scheint das Ziel zu haben, stammten von der öffentlichen IP-Adresse des NAT-Instanz... so die Antwort der Verkehr kommt wieder auf die NAT-Instanz. Weder die Sicherheits-Gruppe zugewiesen, um die NAT-Instanz noch die security-Gruppe zugewiesen, um die private Instanz konfiguriert werden müssen, um "erlauben", diese Antwort-Verkehr, da Sicherheitsgruppen sind zustandsorientiert. Sie erkennen die Reaktion Verkehr korreliert ist, zu den Sitzungen, die intern entstanden, so ist es automatisch erlaubt. Unerwartete Verkehr ist, natürlich, verweigert, es sei denn, die Sicherheitsgruppe so konfiguriert, daß es.

Im Gegensatz zu herkömmlichen IP-routing, wo Ihr Standard-gateway auf demselben Subnetz, so funktioniert es in der VPC ist das anders: die NAT-Instanz für jede gegebene privaten Subnetz ist immer in einem anderen Subnetz, und das andere Subnetz ist immer ein öffentliches Subnetz, weil die NAT-Instanz muss über eine öffentliche externe IP und das Standardgateway hat die VPC - "Internet-Gateway" - Objekt.

Ähnlich... Sie kann nicht bereitgestellt werden, eine Instanz mit einer öffentlichen IP-Adresse auf einem privaten Subnetz. Es funktioniert nicht, weil die default-route auf einem privaten Subnetz ist (per definition) eine NAT-Instanz (die NAT auf den Datenverkehr), und nicht die Internet-Gateway-Objekt (die nicht). Der eingehende Datenverkehr aus dem Internet treffen würde, die öffentliche IP der Instanz, aber die Antworten, die versuchen würde, um route nach außen durch die NAT-Instanz, die würden entweder fallen die traffic (da wäre es aus Antworten auf verbindungen ist es nicht bewusst, so würden Sie als nichtig angesehen werden) oder würde schreiben Sie den Antwort-Verkehr zu nutzen, seine eigene öffentliche IP-Adresse, das würde nicht funktionieren, da die externe Herkunft nicht akzeptieren würde Antworten, kam von einer IP-Adresse eine andere als die, die Sie versuchten, eine Kommunikation zu initiieren.

Im wesentlichen der "privaten" und "öffentlichen" Bezeichnungen sind nicht wirklich über die Zugänglichkeit oder Unzugänglichkeit von der Internet. Sie werden über die Arten von Adressen, die zugewiesen werden, um die Instanzen auf das Subnetz, das ist relevant, weil die Notwendigkeit zu übersetzen-oder vermeiden Sie die übersetzung -- diese IP-Adressen für Internet-Interaktionen.

Seit VPC impliziten Routen aus allen VPC-Subnetze zu allen anderen VPC-Subnetze, die default-route nicht spielen eine Rolle in der internen VPC-Verkehr. Instanzen, die mit privaten IP-Adressen eine Verbindung zu anderen privaten IP-Adressen im VPC "von" Ihre private IP-Adresse, nicht "von" Ihre öffentliche IP-Adresse (wenn Sie eine haben)... solange die Ziel-Adresse ist eine andere private Adresse innerhalb des VPC.

Wenn Ihr Instanzen mit privaten IP-Adressen niemals, unter keinen Umständen, müssen Ihren Ursprung ausgehenden Internet-Verkehrs, dann sind Sie technisch bereitgestellt werden konnte, die auf eine "öffentliche" subnet und würde noch immer nicht mehr zugegriffen werden, aus dem Internet... aber unter einer solchen Konfiguration ist es unmöglich für Sie, um Ihren Ursprung ausgehenden Datenverkehr in Richtung Internet, das die verbindungen mit anderen AWS-Infrastruktur-services wieder, wie S3¹ oder SQS.

^{1 ist. In Bezug auf S3, konkret zu sagen, dass Internet-Zugang ist immer erforderlich ist eine grobe Vereinfachung, wird wahrscheinlich wachsen in Umfang über die Zeit und sich auf andere AWS-services, wie die Funktionen der VPC weiter zu entwickeln und zu wachsen. Es ist ein relativ neues Konzept, das als eine VPC-Endpunkt , können Ihre Instanzen, einschließlich diejenigen, die nur private IP-Adressen, um direkt auf S3 von ausgewählten Subnetze innerhalb der VPC, ohne Sie zu berühren, "Internet", und ohne über eine NAT-Instanz oder einem NAT-gateway, aber dies erfordert zusätzliche Konfiguration, und ist nur nutzbar, Zugriff auf Perioden innerhalb der gleichen AWS-region wie Ihre VPC. Standardmäßig S3-das ist, als dies geschrieben wurde, der einzige service, der aufgedeckt hat die Funktion zum erstellen von VPC Endpunkte -- der Zugriff ist nur von innerhalb der VPC über das Internet. Wenn Sie eine VPC erstellen, Endpunkt, wird eine Präfix-Liste ( pl-xxxxxxxx ), die Sie verwenden können, in Ihrem VPC-ROUTING-Tabellen zu senden Datenverkehr an, dass insbesondere AWS-service direkt an den service über das virtuelle "VPC-Endpunkt" - Objekt. Es löst auch das problem der Beschränkung der ausgehenden Zugriff auf S3 für Besondere Instanz, weil der Präfix-Liste kann verwendet werden, in die ausgehende Sicherheit-Gruppen, an die Stelle einer Ziel-IP-Adresse oder ein block-und ein S3 VPC-Endpunkt kann an zusätzliche politische Aussagen, die Beschränkung Eimer Zugriff von innen, wie gewünscht.}

^{2 ist. Wie bereits in der Dokumentation, was ist eigentlich hier besprochen wird, ist der port auch als network address translation. Es ist üblich, obwohl technisch ein bisschen ungenau, um auf die kombinierte operation als "NAT." Dies ist etwas ähnlich zu der Art und Weise viele von uns neigen dazu, zu sagen, "SSL", wenn wir eigentlich ", TLS." Wir wissen, wovon wir reden, aber wir verwenden nicht die richtige Wort um es zu beschreiben. die " - Note
Wir verwenden den Begriff NAT, die in dieser Dokumentation zu Folgen, gemeinsame IT-Praxis, obwohl die tatsächliche Rolle eines NAT-Gerät ist sowohl address translation und port address translation (PAT)."}

InformationsquelleAutor der Antwort Michael - sqlbot

Ich würde vorschlagen, einen anderen Weg - Graben "private" Subnetze und NAT-instances /gateways. Sie sind nicht notwendig. Wenn Sie nicht möchten, dass der Computer aus dem internet erreichbar, nicht in eine Sicherheitsgruppe, die es erlaubt, den Zugang.

Durch Notwasserung die NAT-instance /gateway, eliminieren Sie die Laufenden Kosten für die Instanz /gateway, und beseitigen Sie die Geschwindigkeitsbegrenzung (250mbit oder 10gbit).

Wenn Sie eine Maschine haben, die auch nicht auf das internet zugreifen müssen direkt (und ich würde Fragen, wie Sie patchen es*), dann mit allen Mitteln, nicht zuweisen einer öffentlichen IP-Adresse.

*Wenn die Antwort hier ist eine Art proxy, gut, du bist dass ein Aufwand, aber jedem das seine.

InformationsquelleAutor der Antwort Phil