![如何让 AWS VPC EC2 实例能够看到 AWS API?](https://linux22.com/image/580014/%E5%A6%82%E4%BD%95%E8%AE%A9%20AWS%20VPC%20EC2%20%E5%AE%9E%E4%BE%8B%E8%83%BD%E5%A4%9F%E7%9C%8B%E5%88%B0%20AWS%20API%EF%BC%9F.png)
我们正在通过 CloudFormation 在 AWS VPC 内部启动基础设施。
我们正在使用自动扩展组来启动 VPC-EC2 实例(因此,我们不会直接启动实例;ASG 负责管理)。
在 PVC 内部,EC2 实例只有一个私有 IP;如果不进一步努力,他们就无法看到外面的世界。
当这些实例启动时,我们会执行一些需要与各种 AWS API 通信的引导任务。我们还有一些需要 AWS API 流量的持续任务。
您如何解决这个明显的先有鸡还是先有蛋的问题?
我们读过:
- NAT 实例 - 但不太喜欢这个,因为它是我们堆栈的另一层。
- 为每个需要通信的 VPC 实例分配弹性 IP - 但 a) 它们都需要通信;b) 由于我们使用的是 ASG,因此我们不知道在配置时要将 EIP 分配给哪些实例;c) 我们需要设置一些东西来监控这些 ASG,并在实例终止和替换时分配 EIP
- 启动一个实例(实际上是一对负载均衡实例,可能跨越多个可用区)作为所有 API 流量的 AWS-API 代理
我想知道是否有某种后门可以打开,允许我们的 VPC EC2 实例访问 AWS API 端点,但没有其他任何东西,为了实现低复杂性的设置,它不会在我们的基础设施中添加另一个网络跳转层来处理请求。
答案1
您已经了解了让私有子网中的 VPC 实例与外界通信的主要方法。
- 将私有子网的互联网流量路由到连接到您办公室的 VPN 隧道,然后该隧道即可提供对互联网其余部分的访问。这不是理想的选择,因为它需要始终在线的 VPN 隧道和通过您办公室的额外跳跃。
我建议使用 NAT 实例,这是让私有子网内的机器访问互联网的推荐设置。它们是按子网配置的,因此您的机器在启动时不需要了解它们的配置。只需确保使用 m1.large 或更大的实例即可获得更高的网络吞吐量(与 m1.small 相比)
答案2
截至 2015 年 4 月,AWS 现已针对此问题提供了一个直接的解决方案:VPC 终端节点
VPC 终端节点可让您在 VPC 与其他 AWS 服务之间创建私有连接,而无需通过 Internet、NAT 实例、VPN 连接或 AWS Direct Connect 进行访问。终端节点是虚拟设备。它们是水平扩展、冗余且高度可用的 VPC 组件,允许 VPC 中的实例与 AWS 服务之间进行通信,而不会对网络流量造成可用性风险或带宽限制。