Amazon EC2：没有公共 IP 的公共子网中的实例与私有子网中的实例

Question

我有一个根据场景2创建的VPC：http://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_Scenario2.html

在公共子网中创建实例时，我可以选择：

1- 不将公共 IP 关联到实例

2- 关联在实例重启时可以更改的公共 IP

3- 关联弹性 IP

我的问题是：在安全方面，在公共子网中创建实例但没有公共 IP（选项 1）与在私有子网中创建实例之间有什么区别？我知道私有实例位于 NAT 后面，但这真的增加了相关的安全层吗？如果没有属于健全安全组的公共 IP，我不会受到公共实例的保护吗？

Answer 1

看看这个answer about the difference between private and public subnets in AWS。

简而言之，区别在于网络层，由此产生的安全态势相似。没有公共可路由地址的公共子网上的实例将无法接收入站连接，也无法在没有附加 EIP 地址的情况下进行出站连接——即使安全组允许它。 （因此，例如，您必须将 EIP 仅附加到 SSH 到实例中。）实际上，它是一个整体块，而 NAT 允许您像通常期望的那样微调访问。

您还可以阅读有关instance addressing in the AWS User Guide 的更多信息。