AWS VPC 核心笔记（小白向）
一、核心组成：VPC = 云上的“私有网络”
| 组件名 |
类比 |
说明 |
| VPC |
小区 |
你在 AWS 上自定义的私有网络范围 |
| 子网（Subnet） |
小区里的楼 |
子网是 VPC 的一个切分区域，决定资源的网络分布（公有/私有） |
| ENI（弹性网卡） |
网线插口 |
每个 EC2 实例都有 ENI，决定它连在哪个子网上、IP 是多少 |
| CIDR |
门牌号规则 |
IP 地址的划分标准，例：192.168.16.0/24 表示 256 个地址（.0 到 .255） |
二、访问公网的三件套
想让 EC2 实例访问互联网，你需要配齐这三样：
| 必要项 |
类比 |
说明 |
| 1. Internet Gateway（IGW） |
小区出入口 |
没它就连不出 VPC |
| 2. 路由表配置 |
导航指示牌 |
子网的流量需要指向 IGW (0.0.0.0/0 → IGW) |
| 3. 公网 IP（Public IP / EIP） |
门外显示的地址 |
没公网 IP，出得去别人也回不来 |
默认路由 = 0.0.0.0/0，代表“所有不在 VPC 内的地址”。
三、网络访问控制机制（SG vs NACL）
| 特性 |
安全组（SG） |
网络 ACL（NACL） |
| 是否状态检测 |
✅ 是 |
❌ 否 |
| 控制对象 |
EC2 实例（ENI） |
子网 |
| 方向配置 |
默认双向（出=入） |
必须单独配置入和出 |
| 规则数量 |
限制较少 |
规则数较多 |
| 使用场景 |
更细粒度控制（推荐） |
粗粒度隔离 |
四、NAT：让私有子网访问公网（但不被访问）
| 类型 |
说明 |
特点 |
| NAT Gateway（托管） |
AWS 管的，性能高，推荐 |
✅ 自动扩展，需公网 IP，必须在公有子网 |
| NAT Instance（自管） |
自己建 EC2 做 NAT |
❌ 需手动配置（需关掉 ENI 的 source/dest check） |
为什么 NAT 网关不能和 EC2 在同一子网？
→ 因为 NAT 要放在公有子网里，用来“代理”私有子网的访问。
五、VPC Peering：VPC 与 VPC 之间通信的桥梁
| 特性 |
说明 |
| 是否跨 region |
默认不行，需 inter-region peering |
| 是否自动路由 |
❌ 需手动为双方设置路由 |
| 安全组是否生效 |
✅ 要显式配置对方 IP 段 |
| 是否支持转发 |
❌ 不支持转发（无“中转”功能） |
要点记忆：
- Peering 是点对点桥梁
- 双向通信 = 双向路由 + 安全组放行
六、其他概念快速扫盲
| 概念 |
说明 |
| EIP（弹性 IP） |
固定公网 IP，可绑定给任意 ENI |
| Main Route Table |
子网若未明确绑定路由表，则默认用这个 |
| VPN |
跨 region 安全连接方式，流量加密 |
| Direct Connect |
和 AWS 机房直接拉一根网线，不加密 |
| Transit Gateway |
多 VPC/VPN 连接汇总器，支持中转、跨 region 通信 |
| Blackhole Route |
阻断某段地址的访问（有这条，但目标资源不存在） |
高频考题总结速查表
| 题型 |
正确答案 |
理由 |
| Default route 的目标？ |
A. 0.0.0.0/0 |
表示所有非本地地址 |
| 新建子网绑定的路由表？ |
A. Main route table |
默认绑定主路由表 |
| 没公网 IP 的实例能 SSH 吗？ |
A. 否 |
没公网 IP 无法从外部连入 |
| 运行中实例如何加公网 IP？ |
B. 分配 EIP → 绑定 ENI |
这是唯一可行方案 |
| 状态检测过滤的组件？ |
A. SG, C. AWS Network Firewall |
记住 SG 是 stateful |
| NAT Gateway 必须与 EC2 不同子网？ |
✅ 是 |
一个公有子网代理一个私有子网 |
| VPC peering 要实现通信？ |
A + D |
双向路由 + 安全组 |
🧭 图示类比：VPC 是个小区
VPC = 小区
├─ 公有子网（靠近小区大门）
│ └─ EC2 + 公网 IP → 可出入
├─ 私有子网（靠后，靠 NAT 网关）
│ └─ EC2 + 无公网 IP → 只能出不能进
├─ IGW（Internet Gateway） = 小区大门
├─ 路由表 = 导航系统
└─ Security Group = 每户门禁
建议记忆口诀
“出得去靠 IGW，进得来靠 IP；要通信先路由，安全组要放行。”