从没有公有 IP 地址的 AWS VPC 实例访问互联网

Question

我们正在设置一个Amazon VPC，我们将在其中提供(目前)一个EC2实例和一个RDS实例。这是为了“扩展我们的数据中心”，并且只能使用私有子网。

所以实际上，我们有这个设置，它运行良好（插入笑脸图标）。出于所有意图和目的，我们将 Amazon 在此处概述的 VPC 方案 4 镜像：http://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_Scenario4.html

tl； dr：单个VCP，VPN连接到我们的公司网络。VPN使用虚拟专用网关（VPC端）和客户网关（我们的端）允许我们根据需要访问EC2，其中包含一个根据需要连接到RDS实例的网络服务器。我们网络上的任何人都可以通过URL访问在EC2上运行的网络服务器。所有这些都按预期工作。

当EC2实例需要访问Internet上的资源时，问题就出现了——我们的想法是不要有任何公共子网，而是通过我们的虚拟专用网路由来自EC2实例的所有流量，并将其路由到我们公司Internet访问的“标准”路径之外。然而，我们在设置它时遇到了麻烦。

事实上，这是可以做到的，这在亚马逊的常见问题解答中有所强调:https://aws.amazon.com/vpc/faqs/

问：没有公共IP地址的实例如何访问Internet？

没有公共IP地址的实例可以通过以下两种方式之一访问Internet：

>

没有公有 IP 地址的实例可以通过 NAT 网关或 NAT 实例路由其流量以访问互联网。这些实例使用 NAT 网关或 NAT 实例的公有 IP 地址遍历公有 IP。NAT 网关或 NAT 实例允许出站通信，但不允许互联网上的计算机启动与专用地址实例的连接。

对于具有硬件VPN连接或直接连接的VPC，实例可以通过虚拟专用网关将其Internet流量路由到现有数据中心。从那里，它可以通过您现有的出口点和网络安全/监控设备访问互联网。

我们试图避免选择#1，因为这涉及成本（以及复杂性和安全问题）。#2对我们来说是完美的解决方案，但是理解设置它的过程已经有一段时间了。

有人能告诉我们需要做些什么(或给我们指出正确的资源)来确保EC2实例*可以通过VPN、公司数据中心和现有的互联网接入点访问互联网吗？

* _{以及专用子网内的任何内容}

Answer 1

如果您使用的是场景 #2，那么 AWS 端要做的就是确保发往互联网的流量 0.0.0.0/0 路由到您的虚拟私有网关。

一旦流量流向那里，它将进入您的客户网关，并进入您的企业数据中心。如果可能的话，这取决于您当地的IT人员，以获得互联网目的地的流量。但在这一点上，这不再是AWS的问题。