互联网、NAT 和出口网关

子网是公共还是私有，取决于其流量能够到达哪些网关。AWS 提供了多种网关类型，每种网关控制互联网访问的不同方向。理解它们，您就能精确允许每一层所需的连接，而不会额外放行其他连接。

互联网网关（IGW）是一个水平扩展且高度可用的组件，允许 VPC 与互联网之间进行双向通信。具有通往 IGW 路由的子网就是公共子网。资源还需要公共 IP 或弹性 IP，才能通过它从互联网访问。

NAT（网络地址转换）网关允许私有子网中的资源向互联网建立出站连接，例如获取更新或调用 API，同时阻止从外部发起的入站连接。它位于公共子网中，为私有实例提供互联网访问，却不会使这些实例能够被互联网访问。

NAT 网关是实现“私有但保持连接”模式的关键：实例可以获取补丁并调用外部 API，却无法从互联网访问。这种单向出站通常正是应用程序层和数据层所需的能力，在功能性与隔离性之间取得平衡。

NAT 网关位于单个 AZ 中。为了提高恢复能力，应当在每个可用区部署一个 NAT 网关，并将各 AZ 的私有子网路由到本地 NAT。这样可以避免单点故障，让流量留在 AZ 内部，同时提升可靠性并降低成本。

对于 IPv6，与 NAT 等效的是仅出站互联网网关。它允许私有资源发出 IPv6 流量，同时阻止互联网发起入站 IPv6 连接。IPv6 地址可以在全球范围内路由，因此此网关为 IPv6 提供了 NAT 为 IPv4 提供的仅出站保护。

若要在完全不经过互联网的情况下访问 AWS 服务，请使用VPC 端点。网关端点（用于 S3 和 DynamoDB）以及接口端点（PrivateLink）允许私有实例通过 AWS 网络调用 AWS API。这样可以保持流量私有，并且对于仅访问 AWS 的出站流量，可能无需使用 NAT 网关。

每条出站路径都可能成为数据外泄路线。对于 AWS 服务，应优先使用VPC 端点，而不是通过 NAT 访问互联网；当确实需要广泛的互联网出站访问时，应将 NAT 与 AWS Network Firewall 的域名过滤结合使用。尽量减少并检查出站流量，是一项核心加固原则。

根据需求匹配网关：公共的双向互联网访问使用 IGW；私有 IPv4 仅出站访问使用 NAT；私有 IPv6 仅出站访问使用仅出站 IGW；私有访问 AWS 服务使用 VPC 端点。正确选择网关是考试中经常出现的场景。

NAT 网关会产生按小时计费和数据处理费用，因此改用端点来转发 AWS 流量，可以同时降低成本并提高安全性。最安全的设计通常也是更精简的设计：减少互联网暴露，也减少通过 NAT 传输流量所需的费用。

网关决定了 VPC 的连接方式。仅为最小的公共层使用 IGW；使用 NAT 或仅出站 IGW 为私有层提供安全的出站访问；使用 VPC 端点，让 AWS 流量完全不经过互联网。这种受控的连接方式是安全 VPC 的核心。

请选择正确的网关。

互联网网关为公共子网提供双向互联网访问；NAT 网关为私有 IPv4 子网提供仅出站访问；仅出站互联网网关为 IPv6 提供相同功能。为了提高弹性，请按 AZ 部署 NAT。使用 VPC 端点（网关端点和接口端点/PrivateLink）私下访问 AWS 服务，从而同时减少出站暴露面和 NAT 成本。