AWS公共Web服务器不能通过其IP直接从外部访问？

Question

由于我完全不是网络管理员，我不知道如何设计它甚至可能。我正在使用AWS和EC2实例。但是出于某些安全原因，我被告知要使用VPC和私有子网。

我的知识不够好，但是 -

• 是否可以将所有当前的公共WEB服务器放入专用网络？目标是防止WEBSERVERS直接公共可达性（使用他们的公共IP），除了前面的负载均衡器。

因此，假设网站www.example.com有2个WEBSERVERS（负载均衡）：

• Web-A（202.1.2.3）
• Web-B（202.4.5.6）

这意味着目前可通过公共IP访问这些内容。

• 那么我可以从外部使那些无法通过IP 访问，但仍然可以将www.example.com提供给公众吗？ （这是什么VPC +私有子网，为？）

对不起我的困惑。对此有何建议？

Answer 1

是的，您所描述的是构建您的VPC的好方法。您的Web服务器可以位于通过NAT服务器访问Internet的私有子网中。来自客户端的入站连接将由负载均衡器（通常为ELB）代理。所以流程看起来像这样：

Clients <=> Load Balancer/ELB (Public subnets) <=> Web/App Servers (Private subnets) <=> Database servers (private subnets)

在此体系结构中，负载均衡器侦听端口80和443并终止SSL连接。负载均衡器具有可路由的公共IP地址，并将流量发送到您选择的端口上的Web服务器，可能是8080. Web服务器只有私有地址，不能公开访问。

我谦卑地提交了一篇关于我最近做过的VPC架构的演讲。 See the slides here