AWS-对于外部服务的传出请求，我应该使用 AWS API Gateway 还是 NAT Gateway 从私有子网调用外部 Web 服务答案

【问题标题】：AWS- For outgoing requests to external services, Should i use AWS API Gateway or NAT GAteway to call external web services from private subnetAWS-对于外部服务的传出请求，我应该使用 AWS API Gateway 还是 NAT Gateway 从私有子网调用外部 Web 服务
【发布时间】：2019-01-26 05:38:16
【问题描述】：

使用 AWS API 网关的场景？这也仅适用于传入或传出服务吗？ NAT 网关是通过 Internet 网关调用外部服务的首选方式吗？可以用 AWS API Gateway 代替吗？后者会提供更高的安全性吗？

调用外部服务的两种方式- 选项1- a) 通过路由表将私有子网组件配置到 NAT 网关。 b) 请求将从私有子网-> NAT 网关-> Internet 网关-> 外部服务路由？

选项 2- a) 配置私有子网以通过路由表调用公有子网中的 AWS API Gateway b) 请求将通过私有子网-> AWS API 网关-> 外部服务进行路由？

请告诉我哪个选项看起来更好？

【问题讨论】：

标签： amazon-web-services

【解决方案1】：

你把事情搞混了。

如果有实例/服务位于私有子网中，并且您需要此实例具有对 Internet 的出站访问权限，那么您需要一些 NATing/PATing 服务。对于 AWS，您可以将 NAT 网关附加到您的 VPC 或在同一 VPC 的公共子网中启动 NAT 实例并相应地配置路由表。 API Gateway 与此无关。

API Gateway 可帮助您构建无服务器、安全且高度可用的 REST API，您可以向这些 API 发送 HTTP/HTTPS 请求。您可以配置一些 API Gateway 资源/方法以指向外部服务吗？你当然可以。但是 API Gateway 不能在您的路由表中定位。为什么？很简单，因为路由表运行在 ISO OSI 模型的第 3 层（通过 IP 地址进行路由），而 API Gateway 运行在 ISO OSI 模型的第 7 层（应用层）。

所以这里有一些你可以做的事情。

实例（私有子网）-> NAT 实例-> Internet 网关-> 外部服务
实例（私有子网）-> NAT 网关-> Internet 网关-> 外部服务
实例（私有子网）-> NAT 实例/网关-> Internet 网关-> API 网关-> 外部服务

或者您甚至可以启动一个仅在您的 VPC 内部运行的私有 API 网关，但同样，它与授予 Internet 访问权限无关。

关于安全性，我们在这里讨论的不是有人试图访问您的资源（入站访问），而是您/您的资源试图访问某些外部服务。您可以并且应该通过防火墙（例如 NACL、安全组甚至操作系统级别的防火墙）来控制它。 API 网关的安全性正好相反，它可以保护您免受恶意传入请求/DDOS 攻击和未经授权使用您的资源。

简而言之，如果您知道要从私有子网内部访问的外部服务已经存在，那么 API Gateway 对您完全没有用处。

【讨论】：

非常感谢您的详细解释。
感谢上面的详细解释和模式。 1. 我相信，在这种情况下，您将不得不在同一个 VPC 的公共子网中配置 API 网关。 2.如果你对同一个外部系统有入站和出站服务，你会使用API网关作为一致的代理模式吗？一种。从内部服务到外部服务、实例（私有子网）-> NAT 实例/网关-> Internet 网关-> API 网关-> 外部服务...... b.从外部服务到内部服务、外部服务-> API 网关-> Internet Gateway-> NAT 实例/网关-> 实例。
@SmithaKutty API 网关是无服务的、完全托管的服务，您不能在公共子网中启动它。您需要构建 REST API 吗？如果是，那么使用它。如果没有，请不要使用它。 API Gateway 与流量路由无关（除了应用级路由，但我有一种强烈的感觉，你说的不是这种情况）。