何时使用公共子网与私有子网？答案

【问题标题】：When to use Public Subnet vs Private Subnet?何时使用公共子网与私有子网？
【发布时间】：2019-11-27 10:21:22
【问题描述】：

我有一个想要向全世界开放的 Web 应用程序。我应该简单地创建公共子网并将此实例添加到其中，还是应该创建私有子网、NAT、负载均衡器并将此实例添加到其中？

我希望这个应用程序只能被某些 IP 访问。

您推荐哪种方式，为什么？哪种方式最安全又经济实惠？

【问题讨论】：

【解决方案1】：

我会推荐私有子网中的实例，因为这是在私有子网中启动实例并将 LB 放在实例顶部的安全方法。

私有实例的高级外观或一般示例可以是

要访问您的私有实例，您应该在公有子网中有一个实例，您可以从中访问该实例，通常 AWS 将其称为堡垒。

【讨论】：

【解决方案2】：

如果你只有一个实例：

如果您有多个实例，则需要负载均衡器。在这种情况下：

但是，您实际上可以将所有内容保存在公共子网中，并且仅使用安全组来控制访问。安全性的正常目标是多层安全性使事情更安全。但是，设计选择取决于您。

【讨论】：

你说得对，我也有同样的想法，但我的问题是，如果我们只为某些 IP 保持开放的安全组，我们有多安全？数据包将从 AWS IP 流向使用 Hops 的 IP，对吗？以便在我们将 VPN 隧道与 AWS 一起使用之前，也可以从该跃点访问该应用程序？请纠正我。
安全组按文档说明工作。因此，如果配置是您想要的，那么您的要求就会得到满足。更广泛的“安全性”问题取决于人员和流程，因为他们可能会错误地配置事物或发布“秘密”信息。