非公共 IP 实例的 AWS 公共子网 Internet 访问答案

【问题标题】：AWS Public Subnet Internet Access for Non Public IP Instances非公共 IP 实例的 AWS 公共子网 Internet 访问
【发布时间】：2018-12-29 08:08:44
【问题描述】：

我在 AWS 中有一个公共子网，其中有 3 个实例...

WebApp01（弹性 IP - 例如 54.23.61.239）
WebApp02（私有 IP - 192.168.0.24）
WebApp03（私有 IP - 192.168.0.25）

我的路由表设置为 192.168.0.0/16 -> 本地 0.0.0.0/0 -> 互联网网关

我可以看到有公网IP的实例可以上网，但是没有公网IP的实例不能上网。

如何为公共子网中的其他实例提供 Internet 访问权限？

我是网络新手，如有任何帮助，我们将不胜感激。

仅供参考：我知道创建一个 NAT，然后使用 0.0.0.0 -> NAT 创建一个单独的路由表并将该路由与私有子网相关联，从而可以访问私有子网中的实例，但我不知道了解如何为公有子网中的非公有 IP 实例提供 Internet 访问权限。请帮忙！

【问题讨论】：

投反对票的人能否说明他们这样做的原因？
你的问题对我帮助很大，我不知道为什么有人投了反对票。

标签： amazon-web-services amazon-vpc subnet vpc aws-vpc

【解决方案1】：

您需要为没有公共 IP 地址的实例分配公共 IP 地址或添加 EIP 以便它们访问 Internet。

AWS Internet 网关是一种特殊类型的 NAT 网关（1 - 1 地址映射）。如果没有公共 IP 地址，互联网网关将无法映射到 EC2 实例 - 一个公共 IP 映射到互联网网关内的一个私有 IP。

尽管您将 NAT 网关添加到具有 Internet 网关的公共子网， NAT 网关确实为公共子网中的实例提供地址转换 (NAT) - 仅对私有子网中的实例。每个私有子网中的默认路由指向 NAT 网关。

如果您希望这些实例仅通过私有 IP 地址得到保护，那么您需要将这些实例移动到私有子网（带有 NAT 网关的子网）。

公有子网中没有公有 IP 地址的实例从 Internet 成为孤立的。该实例可以与 VPC（Intranet）中的其他实例通信，但不能与 Internet 通信。

关于什么是 AWS VPC 子网存在很多混淆。有三种类型。 1) 公共子网（具有 IGW 的子网）。 2) 私有子网（具有 NAT 网关或 NAT 实例，或两者都没有）。 3) 混合（具有到数据中心或类似的 VGW 路由）。

【讨论】：

因此，根据您的解释，对于公共子网，我需要为该子网中我希望访问 Internet 的所有实例拥有公共或弹性 IP 地址。否则我需要将它们移动到另一个子网，然后使用 NAT。但是我无法让子网中的私有实例（非公共或弹性 IP 地址）访问互联网，因为 AWS IGW 是一个特殊网关，公共 IP 到私有 IP 具有 1:1 映射......我我想我现在明白了。谢谢:)
您能否详细说明“您不能将 NAT 网关添加到具有 Internet 网关的子网（您不能有两个默认路由）。” ?据我所知，您总是将您的 NAT 网关添加到公共子网，然后通过此 NAT 路由您的私有子网，不是吗？
@TarunpreetUbhi 是的：虽然定义并不完全准确，但我们可以将“公共子网”定义为实例应具有公共 IP 地址的子网，将“私有子网”定义为其中的子网他们不是。偏离此策略是不明智的，并且不起作用，因为您对 Internet 网关的 1:1 映射的观察是正确的。 NAT 网关始终“位于”公共子网（因此它们自己可以访问互联网；它们始终拥有 EIP），但它们通过指向它们的路由表条目“向”私有子网“提供服务”。
@Michael-sqlbot - 我努力简化我的解释。我应该说你不能在公共子网中添加一个 NAT 网关，为公共子网中的实例提供地址转换，只能到私有子网中的实例。我将在这方面修改我的答案以明确。
感谢您的回答@JohnHanley。将 IGW 保持为 1:1 映射而不是拥有完整的 NAT 网关是否有任何具体原因？为什么有两个组件而不是只有一个？抱歉，如果这是一个非常基本的问题，我不是网络专家，但想更多地了解“为什么”。