VPC
定义
Virtual Private Cloud是AWS提供的一种从逻辑上分离且独立的网络单元(物理上不一定). 创建VPC的时候可以通过CIDR来指定VPC的大小(VPC内IP地址的数量 最大65535最小16). VPC还可以进一步划分成更小的逻辑单元 - Subnet. Subnet可以进一步分割VPC内的IP范围(Subnet的IP范围必须在VPC的IP范围之内).
可用组件
Subnet
Route Table
Security Group
ACL
NAT Gateway/Instance
IGW
CGW & VPG
Peering Connection
Endpoint
Elastic IP
Elastic Network Interface
Subnet
子网是VPC的基本组成部分，EC2实例实际上是运行在Subnet里而非直接运行在VPC上。
分类:
Public subnet - 所关联的route table中流量导向VPC的IGW
Private subnet - 所关联的route table中的流量没有导向到VPC的IGW
VPN only subnet - 所关联的route table中的流量导向到VGW
注意
一个Subnet必定所属一个AZ,且创建之后不能更换所属的AZ
一个Subnet必定至少关联到一个路由表，如果有没显示的关联，则隐式关联到VPC的主路由表.
子网的大小必须小于VPC的IP范围且大于等于/28(i.e: VPC CIDR - 10.0.0.0/16, 则Subnet的CIDR必须是10.0.X.X/17~28). NOTE: AWS会保留CIDR IP段的前4个IP和最后一个IP, 所以对于10.0.X.X/28实际可用的IP数量是16-5=11个IP地址
可以通过ACL来做子网级别的安全控制(入/出站规则)
默认VPC在所有的AZ都有一个规模为/20的子网
Route Table
一组所关联的子网的流量导向规则. 每条路由规则有2个字段destination和target. destination用来表示请求的最终目的地, target用来指定由谁来处理路由的下一跳.
下条路由规则的语义为: 子网内所有访问172.9.X.X的请求都经由IGW来处理
| Destination | Target |
|---|---|
| 172.9.0.0/16 | igw-id |
典型的Target
target=local的规则实现同一VPC内不同子网之间的通讯. (每个路由表都带有一个只读的规则 x.x.x.x/x - local).
target=IGW的规则实现了VPC外对于子网的访问,
target=NAT的规则实现了子网对于VPC外的访问
target=Peering Connection的规则实现了VPC和VPC之间的访问
target=VPG的规则实现了子网的VPN访问
target=endpoint的规则实现了子网对于相同region的其他AWS service的访问(目前仅支持S3切该调路由不是手动加入的)
注意
一个VPC在创建的时候会自动生成一个主路由表, 所有没有指定路由表的子网都会默认关联这个主路由表
你可以将自己创建的路由表设置为主路由表
路由表中的路由规则的优先级由规则的具体程度来决定(越具体优先级越高). 如下表中，规则2的优先级高于规则3，规则3高于规则1
| Destination | Target |
|---|---|
| 0.0.0.0/0 | igw-id |
| 172.9.1.0/24 | peer-connection-reject |
| 172.9.0.0/16 | peer-connection-approve |
Internet Gateway
IGW实现了VPC中的instance和Internet通讯. 在AWS的VPC中，即便一台instance被分配了public ip/eip也是无法被从VPC外访问到的.必须要往该instance所属的子网关联的路由中添加target=igw的路由才可以. 在通讯过程中IGW具体做了:
维护一个public ip-private ip的one-to-one的映射表
当具有public ip的instance试图从VPC内访问Internet, IGW负责将被访问端的reply的目标地址转换成instance的public ip。并
当VPC外的机器试图访问VPC内的具有public ip的instance的时候, IGW在请求到达VPC后将目标地址从public ip转换成private ip，最终到达instance.
EIP
Elastic IP是AWS对于某个region的IP资源池中的IP, 所以一个EIP是无法跨region的被其他资源(instance, nat gateway等)使用。并且EIP是分配到你的AWS Account的，所以不管一个EIP是否被使用，只要没有从你的Account里面释放出去都会被计费。
与Public IP的不同
EIP绑定到账户就计费，Public IP只有使用的时候才收费
EIP除非你释放了，否则一旦分配到Account就是稳定不变的. Public IP分配给Instance之后随着Instance关闭而释放，而且当instance重启之后，之前分配的Public IP会被重新分配
NAT Gateway/Instance
NAT在AWS中主要提供帮助私有子网访问internet的服务.(通过upnp协议实现). 本质上来讲无论NAT Gateway还是NAT Instance都是一个具有公有IP的实例(NAT Gateway只是从服务角度进行了封装)，不过这个特殊的instance提供端口映射的服务，所有的内网主机对外发送的请求都经由NAT Gateway/Instance发出，NAT会给相应的内网主机随机分配一个端口号，然后请求再经过IGW进入Internet. 所有被访问服务器的返回地址都是NAT Gateway/Instance的公有IP和之前所分配的随机端口号。当response返回到NAT后，NAT再根据端口映射表找到相应的主机，转发返回的response.
NAT与IGW的不同
NAT只提供内网到外网的单项访问，IGW提供内网-外网的双向反问
路由到IGW的公有子网的instance需要有public ip/eip. 而和NAT关联的私有子网主机只需要私有ip
NAT必须绑定一个EIP, IGW不需要
NAT Gateway和NAT Instance的不同
注意
NAT Gateway必须所处公有子网中(如果NAT自己都访问不了外网如何帮私有子网的主机访问外网?)
私有子网所关联的路由必须将流量切到NAT Gateway
Peering Connection
Peer connection提供VPC之间的访问。在建立了Peer connection的2个VPC的主机上，可以直接通过private ip相互通讯。
注意
Peer connection不具备传递性，比如VPC A和VPC B建立了connection, VPC B和VPC C建立了connection, 但是VPC A和VPC C依旧无法相互访问
建立了Peer connection的2个VPC的IP范围不能有重叠（在建立了Peer connection以后如果VPC的ip范围重叠，就有可能一个ip代表2台主机）
建立了Peer connection之后必须同时更新2个VPC需要相互通信的子网的路由(requester和receiver的路由都要更新)，将相互访问的CIDR指向peer connection - pcx-xxxxx. 例如VPC A 10.0.0.0/16和VPC B 192.168.0.0/16. 建立了peer connection，在VPC A和B的路由中需要分别添加一条
| Destination | Target |
|---|---|
| 192.168.0.0/16 | pcx-xxxx |
| Destination | Target |
| :-------- | :-------- |
| 10.0.0.0/16 | pcx-xxxx |
Security Group & ACL
SG和ACL都是用来保障你VPC的网络安全的。但是它们有一些区别
SG是作用于instance级别的访问控制，而ACL是Subnet级别的访问控制
SG是白名单性质的防火墙，你只能允许某些ip访问某些端口而不能拒绝。ACL可以显示的deny一些访问，也可以显示的approve一些访问
SG是有状态的,你不能分开控制SG的出站规则和入站规则。入站请求和出站请求会被同时approve.而ACL是无状态的，你可以对于同一个目标允许入站拒绝出站(或相反)
ACL的安全规则带有具备优先级属性的rule #,(rule #越小优先级越高)
一个instance可以关联多个SG, 但是一个Subnet同一时间仅能绑定一个ACL
Endpoint
Endpoint是用来建立你的VPC和同region的AWS其他service的内部通讯链路的。目前仅支持S3。当你建立了和S3的Endpoint之后，你的VPC内部访问S3的时候就不会通过广域网来进行访问，而且从AWS的内部网路进行访问。
注意
在建立了endpoint之后还需要同时更新路由表，保证相关service(destination)的请求经由endpoint(target)处理
你可以建立access policy来控制endpoint对service的访问权限
