何时使用公共子网与私有子网？

Question

我有一个要向世界开放的Web应用程序。我应该简单地创建公共子网并将其添加到该实例，还是我应该创建私有子网，NAT，负载均衡器并将其添加到其中？

我希望此应用程序只能由某些IP访问。

您推荐哪种方式，为什么？ 哪一种是最安全，最经济的方式？

Answer 1

我将建议在私有子网中使用实例，因为这是在私有子网中启动实例并将LB放在实例顶部的安全方法。

• 此方法的最大优点是您的实例安全，并且无法从公众访问。

具有私有实例的高级外观或一般示例可以是

要访问您的私有实例，您应该在公共子网中有一个实例，您可以从中访问该实例，通常该实例称为AWS堡垒。

securing-your-vpc-using-public-and-private-subnets-with-network-acl

Answer 2

如果您只有一个实例：

• 不需要负载均衡器，因为无需平衡流量
• 不需要专用子网，但需要公开访问
• 使用安全组将访问权限限制为应访问的最小端口（例如端口80、443）以及登录功能（但仅将其限制为 IP地址）

如果您有多个实例，则需要一个Load Balancer。在这种情况下：

• 将负载均衡器放在公共子网中
• 将实例放在专用子网中以提高安全性

但是，您实际上可以将所有内容保留在公共子网中，而仅使用安全组来控制访问。安全性的正常目标是多层安全性使事情更安全。但是，设计选择取决于您。