ฉันมี VPC สองตัว: A และ B
ฉันต้องการให้โหนดใด ๆ ใน A สามารถเปิดการเชื่อมต่อ TCP กับโหนดใด ๆ ใน B ได้ แต่ไม่ใช่ในทางกลับกัน โหนดใดๆ ใน B จะต้องสามารถเปิดการเชื่อมต่อขาออกไปยังโฮสต์อินเทอร์เน็ตสาธารณะได้ วิธีที่ดีที่สุดในการบรรลุเป้าหมายนี้คืออะไร?
กรณีการใช้งาน: VPC A มีบริการภายในที่ละเอียดอ่อนจำนวนมาก และ VPC B มีโหนดที่รันโค้ดที่ไม่น่าเชื่อถือโดยสิ้นเชิง VPC A จำเป็นต้องส่งคำขอ HTTP ไปยัง VPC B แต่ต้องไม่มีการเปิดเผยบริการภายในใดๆ
การเพียร์ VPC อนุญาตการเชื่อมต่อโดยตรงระหว่างโหนดใดๆ ใน A และ B ซึ่งไม่สามารถจำกัดในระดับการกำหนดเส้นทางได้ สามารถใช้กลุ่มความปลอดภัยเพื่อบล็อกการเชื่อมต่อขาออกได้ แต่จะกำหนดค่าได้ยากเล็กน้อยเนื่องจากไม่มีกฎปฏิเสธ
ACL ของเครือข่ายไม่มีประโยชน์ที่นี่ เนื่องจากการรับส่งข้อมูลกลับต้องได้รับอนุญาตจาก B -> A
มีทางเลือกอื่นอีกไหม? บางอย่างเช่นเกตเวย์ NAT ที่อนุญาตให้เปิดการเชื่อมต่อในทิศทางเดียวเท่านั้น AWS รองรับเกตเวย์ NAT ส่วนตัว แต่ฉันไม่พบเอกสารประกอบสำหรับการกำหนดค่าเช่นนี้
ฉันไม่ได้อ่านคำตอบของคุณโดยละเอียด แต่ดูเหมือนว่าจะนอกเรื่องไปหน่อย ฉันไม่รู้ว่าทำไมคุณถึงใช้เกตเวย์ NAT ทั้งหมดนี้เป็นเพียงการอนุญาตให้อินสแตนซ์ในซับเน็ตส่วนตัวเข้าถึงอินเทอร์เน็ตเท่านั้น
กุญแจสำคัญในที่นี้คือการสื่อสารแบบทิศทางเดียวซึ่งแนะนำอย่างยิ่งว่ากลุ่มความปลอดภัยคือคำตอบ ทางออกของฉัน (โดยไม่ต้องคิดมาก):
ดูเหมือนว่าจะสามารถทำงานได้โดยการเพิ่มเกตเวย์ NAT ส่วนตัวในซับเน็ตเฉพาะ
ดูเหมือนว่าการตั้งค่านี้จะใช้งานได้:
VPC A: 10.1.0.0/16
ซับเน็ต A1: 10.1.1.0/24. ซับเน็ตหลักที่มีโหนดใน A
ซับเน็ต A2: 10.1.2.0/24. เครือข่ายย่อยเฉพาะสำหรับเกตเวย์ NAT
VPC B: 10.2.0.0/16
Subnet B1: 10.2.3.0/24: Subnet หลักที่มีโหนดใน B
เกตเวย์ NAT ส่วนตัวในซับเน็ต A2 (แนท-1)
การเพียร์ VPC ระหว่าง VPC A และ B. (pcx-1)
ตารางเส้นทางสำหรับ A1:
10.1.0.0/16 (A): ท้องถิ่น
10.2.3.0/24 (B1): นัต-1
ตารางเส้นทางสำหรับ A2:
10.1.0.0/16 (A): ท้องถิ่น
10.2.3.0/24 (B1): pcx-1
ตารางเส้นทางสำหรับ B1:
10.2.0.0/16 (B): ท้องถิ่น
10.1.2.0/24 (A2): pcx-1
เนื่องจากไม่มีเส้นทางตรงระหว่าง A1 และ B1 การรับส่งข้อมูลทั้งหมดจึงต้องผ่านเกตเวย์ NATและเกตเวย์ NAT อนุญาตเฉพาะการเชื่อมต่อขาเข้าจาก VPC เดียวกัน ดังนั้นจึงไม่มีทางที่โหนดใน B1 จะเปิดการเชื่อมต่อกับโหนดใน A1
กลุ่มความปลอดภัยและ ACL ของเครือข่ายสามารถใช้เป็นชั้นความปลอดภัยเพิ่มเติมได้ที่นี่ และการกำหนดค่าจะค่อนข้างง่ายด้วยการแบ่งเครือข่ายย่อยนี้ แต่ก็จะซ้ำซ้อนเช่นกัน เนื่องจากไม่มีเส้นทางจาก B1 ถึง A1
คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา
