Gerbang NAT dan Subnet Persendirian

Selepas mencipta NAT Gateway, tambahkan route pada jadual route subnet private: destinasi 0.0.0.0/0 → ID NAT Gateway. Ini memberitahu semua trafik daripada tikaian dalam subnet private yang menuju ke internet supaya pergi ke NAT Gateway, yang kemudiannya menghantarnya melalui Internet Gateway ke internet. Jadual route itu masih mempunyai route VPC tempatan (contohnya, 10.0.0.0/16 → local) untuk trafik dalaman. Tanpa entri route ini, tikaian dalam subnet private masih tidak mempunyai akses internet walaupun NAT Gateway telah digunakan.

NAT Gateway adalah khusus AZ—ia hanya mengendalikan trafik daripada subnet dalam AZ yang sama. Untuk ketersediaan tinggi, gunakan satu NAT Gateway bagi setiap AZ dan cipta jadual route private yang khusus untuk setiap AZ: jadual route private dalam AZ-a menghalakan 0.0.0.0/0 kepada NAT-GW dalam AZ-a; jadual route private dalam AZ-b menghalakan trafik kepada NAT-GW dalam AZ-b. Ini mengelakkan caj pemindahan data antara AZ dan memastikan bahawa jika AZ-a gagal, tikaian dalam AZ-b (dengan NAT sendiri) terus mempunyai akses internet.

NAT Instance ialah tikaian EC2 yang diurus sendiri dan menjalankan AMI NAT—pendekatan lama sebelum NAT Gateway wujud. NAT Instance memerlukan anda melakukan perkara berikut: nyahdayakan semakan sumber/destinasi pada tikaian EC2, mengurus lebar jalur dan penskalaan, menampal OS, serta mengendalikan kegagalan. Ia lebih murah untuk kes penggunaan dengan lebar jalur yang sangat rendah dan boleh digunakan sebagai hos bastion. NAT Gateways ialah pilihan yang disyorkan untuk pengeluaran: diurus sepenuhnya, diskalakan secara automatik, mempunyai SLA ketersediaan 99.99% dalam AZ, dan tidak memerlukan penampalan. Peperiksaan secara sejarahnya kerap menguji perbandingan ini.

Harga NAT Gateway mempunyai dua komponen: caj setiap jam bagi setiap NAT Gateway (kira-kira $0.045/jam di us-east-1, sekitar $32/bulan), dan caj pemprosesan data setiap GB (~$0.045/GB di us-east-1). Untuk beban kerja yang memindahkan jumlah data yang besar melalui NAT (contohnya, mengambil imej bekas yang besar atau memuat turun secara pukal), kos pemprosesan data boleh menjadi komponen terbesar. Optimumkan kos NAT dengan: menghalakan trafik S3 dan DynamoDB melalui VPC Gateway Endpoints (memintas NAT sepenuhnya dan percuma), serta menghalakan panggilan API AWS melalui VPC Interface Endpoints dan bukannya melalui NAT.

Tikaian pangkalan data dalam subnet private tidak sepatutnya menghala melalui NAT Gateway—tiada keperluan untuknya memulakan sambungan ke internet. Pangkalan data hanya perlu menerima sambungan daripada peringkat aplikasi (dalam VPC) dan berkemungkinan mencapai perkhidmatan AWS seperti S3 (untuk eksport/import) melalui titik akhir VPC. Untuk penampalan dan kemas kini pangkalan data, RDS ialah perkhidmatan terurus, jadi anda tidak menggunakan tampalan OS secara langsung. Bagi pangkalan data yang diurus sendiri pada EC2, gunakan Systems Manager Patch Manager, yang boleh melakukan penampalan melalui SSM tanpa akses internet jika titik akhir VPC SSM telah dikonfigurasi.

NAT Gateway menyediakan NAT keluar sahaja yang mengekalkan keadaan: ia membenarkan sambungan keluar yang dimulakan dan responsnya, tetapi menyekat semua trafik masuk yang tidak diminta. Ia bukan tembok api—ia tidak memeriksa atau menapis kandungan trafik. Untuk menapis trafik keluar (contohnya, membenarkan hanya domain atau IP destinasi tertentu daripada subnet private), anda memerlukan kawalan tambahan: tembok api rangkaian AWS yang digunakan dalam VPC, atau perkakas tembok api pihak ketiga di belakang Gateway Load Balancer. Kumpulan keselamatan dan NACL masih terpakai pada tikaian dalam subnet private tanpa mengira NAT.

Selain NAT Gateway awam (dengan EIP untuk akses internet), AWS menyokong NAT Gateway private tanpa EIP. NAT Gateway private digunakan untuk menterjemah alamat IP private bagi trafik antara VPC atau antara VPC dengan rangkaian di premis apabila julat CIDR bertindih. Contohnya, jika VPC-A (10.0.0.0/16) perlu berkomunikasi dengan rangkaian di premis yang turut menggunakan 10.0.0.0/16, NAT Gateway private dalam VPC-A menterjemah IP sumber kepada julat yang tidak bertindih sebelum menghalakan trafik melalui Transit Gateway ke lokasi di premis.

Pantau kesihatan dan prestasi NAT Gateway melalui metrik CloudWatch. Metrik utama: ActiveConnectionCount (sambungan TCP aktif semasa melalui NAT), BytesInFromDestination / BytesInFromSource (pemindahan data dalam kedua-dua arah), PacketDropCount (paket yang digugurkan—menunjukkan had lebar jalur atau ralat), dan ErrorPortAllocation (NAT telah kehabisan peruntukan port—mungkin menunjukkan kehabisan port akibat terlalu banyak sambungan). Setiap NAT Gateway menyokong sehingga 55,000 sambungan serentak bagi setiap destinasi unik; selepas jumlah itu, sambungan mungkin digugurkan.

Tidak semua beban kerja subnet private memerlukan NAT Gateway. Pertimbangkan corak akses: jika tikaian hanya perlu berkomunikasi dengan sumber VPC lain dan perkhidmatan AWS yang boleh dicapai melalui titik akhir VPC (S3, DynamoDB, SSM, ECR, Secrets Manager), anda boleh menghapuskan NAT Gateway sepenuhnya—menjimatkan kira-kira ~$32/bulan bagi setiap AZ serta caj pemprosesan data. Ini ialah corak ideal untuk perkhidmatan mikro yang sepenuhnya private dan menggunakan VPC Interface Endpoints bagi semua akses perkhidmatan AWS. Nilai setiap perkhidmatan yang dipanggil oleh tikaian anda dan semak sama ada Gateway Endpoint percuma atau Interface Endpoint berbayar boleh menggantikan NAT.

Dalam pelajaran ini, anda telah mempelajari bahawa: NAT Gateways membolehkan akses internet keluar untuk tikaian subnet private dengan menterjemah IP private mereka kepada Elastic IP, anda mesti menambahkan route 0.0.0.0/0 dalam jadual route subnet private yang menunjuk kepada NAT Gateway, dan anda perlu menggunakan satu NAT Gateway bagi setiap AZ untuk mencapai ketersediaan tinggi serta mengelakkan caj data antara AZ. Seterusnya, kita akan membandingkan Network ACL dengan Security Groups untuk pertahanan VPC berlapis.