在 AWS 中，我们有像 public 和 private 子网这样的子网。
为简化问题，我仅指私有子网。
我知道我们可以为所有 AZ 中的私有子网使用单个路由表，或者我们可以在所有 AZ 中为每个私有子网使用多个路由表（每个 AZ 一个）。
我的问题是，设计这个的最佳实践是什么？我应该为每个 AZ 中的子网创建不同的路由表，还是应该为所有 AZ 中的子网创建单个路由表？推荐的方法是什么？推荐的方法有什么优势？
请注意，我问这个问题的原因是，我已经看到这两种方法都在不同的环境中使用，并试图了解什么是好的方法。
【问题讨论】：
标签： amazon-web-services amazon-vpc vpc private-subnet
这最终取决于您自己的要求，但这里有几点需要考虑。
公共子网
您的任何公共子网是否有独特的不同？如果它们在许多人遵循的模式中都相同（每个 AZ 一个公共子网），那么您可能会发现为您的公共子网拥有一个路由表会更简单。由于 Internet 网关具有高可用性，并且 VPC 只能连接一个，因此如果它们都相同，则为每个子网添加路由表只会增加复杂性。
私有子网
要考虑的第一个因素是，您的所有私有子网是否都能够访问互联网。如果您有特定的子网应该和不应该的子网，您会希望将它们的路由分开。请记住，与第三方 API 交互或修补系统需要互联网。
对于那些需要互联网的私有子网，您需要使用 NAT 设备（NAT Gateway 或 NAT instance）。通常最佳做法是让每个 AZ（不是子网）拥有自己的 NAT 设备，这样可以防止其他 AZ 中的设备在 NAT AZ 遇到问题时无法连接到互联网。
在这种情况下，您会考虑为每个可用区创建一个路由表，然后根据需要将子网绑定到正确的路由表。
VPC 到网络通信
最后要考虑的是您的 VPC 与外部网络（无论是在 AWS、其他云提供商甚至本地）通信。
如果您要连接到外部源，您需要了解该外部源是否应该能够与每个子网通信（反之亦然），或者是否只有一个特定范围可以通信)。
如果您希望只有特定子网能够与外部源通信，那么您应该考虑这些子网的路由表，并考虑上述部分。
总结
总之，有几个因素决定了您创建的路由设置。
考虑到所有这些，首先，安全性通常是最高因素（不允许不必要的通信），但也要考虑对这些因素的管理。如果您有 100 个子网，其中 90 个是私有的且具有相同的路由，则创建所需的最少数量的路由表。如果需求发生变化，您可以在需要时进行更改。
【讨论】：