AWS基础网络产品及协同架构-Networking

简介

一个完整的AWS网络架构图，包含了如下能力：
Users (用户): 表示使用AWS服务的用户或系统。

SaaS (软件即服务): 表示在AWS上运行的软件服务，如企业微信可能作为SaaS提供。

example.com?: 这可能是一个示例域名，用于展示如何通过AWS服务进行路由和管理。

CloudFront: AWS的内容分发网络服务，用于加速静态和动态内容的传递。

Route53: AWS的高可用性和可扩展性的域名系统（DNS）Web服务。

CloudFront edge IP: 表示CloudFront服务的边缘节点IP地址。

EC2 (Elastic Compute Cloud): AWS提供的一种可扩展的计算服务，允许用户在云中运行虚拟服务器。

Application: 表示部署在AWS上的应用程序。

Network Load Balancer (NLB): 一种AWS服务，用于在多个EC2实例之间分配流量。

Services: 表示AWS提供的其他服务，如SNS（简单通知服务）和SES（简单电子邮件服务）。

Elastic IP: 允许用户为EC2实例分配一个固定的公有IP地址。

VPC (Virtual Private Cloud): 允许用户在AWS云中启动资源的虚拟网络。

PrivateLink: 一种服务，允许在VPC内部连接到AWS服务和其他服务，而无需通过公共互联网。

IGW (Internet Gateway): 连接VPC到互联网的虚拟私有网关。

Corporate Gateway (CGW): 连接企业数据中心到AWS的网关。

Public Subnet: VPC中的一个子网，用于部署可以直接访问互联网的资源。

Private Subnet: VPC中的一个子网，用于部署不应该直接暴露在互联网上的资源。

Peering: 两个VPC之间的连接，允许它们之间通信。

Remote Cloud: 表示与主VPC连接的远程或备份云环境。

ENI (Elastic Network Interface): VPC内的虚拟网络接口，类似于物理服务器的网络接口卡。

SQS (Simple Queue Service): 一种消息队列服务，用于存储消息，使应用程序异步通信。

DynamoDB: 一种NoSQL数据库服务，提供快速和可扩展的数据存储。

Corporate data center: 表示企业的本地数据中心。

VPN (Virtual Private Network): 虚拟私有网络，用于在公共网络上建立安全的连接。

CEN (Cloud Enterprise Network): 表示企业网络，可能用于连接多个云资源和本地数据中心。

AWS services: 表示AWS提供的其他服务，如S3（简单存储服务）。

Availability Zone: AWS数据中心的一个区域，用于隔离故障和提高可用性。

VGW (Virtual Private Gateway): 连接VPC到VPN的虚拟私有网关。

IPSec: 一种网络协议，用于在IP网络中保护数据流。

Server endpoint: 表示服务器的网络端点，用于网络连接。

AWS Transit Gateway

（TGW）是AWS提供的一种网络服务，它允许在多个虚拟私有云（VPC）之间以及本地网络和AWS服务之间进行集中化的网络连接和路由。TGW提供了一种高度可扩展和灵活的网络中心，使得组织可以轻松地构建和维护跨多个区域和账户的复杂网络拓扑。

以下是Transit Gateway的一些关键特性和优势：

1. 集中式路由：TGW允许您在一个中心位置定义和维护路由表，这简化了网络流量的管理。您可以为所有连接到TGW的VPCs设置统一的路由策略，而不需要在每个VPC中单独配置。

2. 多区域支持：Transit Gateway可以跨越多个AWS区域工作，这意味着您可以在不同的地理位置连接和路由流量，从而实现更好的性能和灾难恢复能力。

3. 无缝连接：TGW支持与各种AWS服务（如EC2、VPC Endpoints、Direct Connect等）的集成，使得您可以轻松地将这些服务纳入您的网络架构中。

4. 安全性和隔离：通过使用TGW，您可以为每个连接的VPC定义安全组和网络访问控制列表（ACLs），确保流量在VPC之间安全地流动。此外，TGW支持VPC之间的隔离，除非您明确允许它们通信。

5. 可扩展性：随着您的网络需求增长，TGW可以轻松地扩展以支持更多的VPCs和路由表。这使得它成为大型企业和组织的理想选择，它们需要管理大量的网络流量和连接。

6. 简化的网络管理：TGW提供了一个单一的管理界面，您可以在AWS管理控制台中查看和配置所有连接的VPCs和路由规则。这大大简化了网络管理和故障排查。

7. 成本效益：通过使用TGW，您可以减少对额外硬件和网络设备的依赖，从而降低总体拥有成本。此外，TGW的按需定价模型意味着您只需为实际使用的资源付费。

8. 跨账户连接：TGW支持跨AWS账户的连接，这使得您可以在不同的AWS账户之间共享网络资源，同时保持账户之间的安全隔离。

9. 监控和日志记录：TGW集成了AWS的监控和日志服务，如CloudWatch和VPC Flow Logs，这使得您可以跟踪网络流量并分析网络性能。

10. 集成的VPN和Direct Connect：TGW支持VPN和AWS Direct Connect，这使得您可以安全地连接本地数据中心到AWS环境。

通过使用AWS Transit Gateway，组织可以构建一个统一、高效和安全的网络架构，以支持其在AWS上的业务需求。无论是云原生应用还是需要与本地网络集成的混合部署，TGW都提供了强大的网络连接能力。

AWS ENI（Elastic Network Interface）

在AWS中，ENI是一个虚拟网络接口，它可以被关联到EC2实例或其他支持ENI的服务上，如AWS Fargate。ENI类似于物理服务器的网络接口卡（NIC），它允许EC2实例或服务与AWS网络和其他资源进行通信。

以下是ENI的一些关键特性和用途：

1. 网络接口：ENI为EC2实例提供了一个网络接口，包括一个私有IP地址（可以是主IP或次级IP），使得实例可以加入到VPC（Virtual Private Cloud）网络中。

2. 多IP地址：ENI可以有多个私有IP地址，包括一个主IP地址和多个次级IP地址。这允许实例参与多个子网或进行负载均衡。

3. 网络性能：ENI有不同的性能级别，可以根据实例的网络需求选择合适的ENI类型，例如，对于需要高带宽或高包/秒处理能力的实例，可以选择更大尺寸的ENI。

4. 动态主机配置协议（DHCP）：ENI可以使用DHCP自动获取IP地址，也可以手动指定静态IP地址。

5. 安全组：与ENI关联的安全组定义了允许进入和离开网络接口的流量规则，提供了网络级别的安全控制。

6. 弹性：ENI可以从一个实例解关联并关联到另一个实例，这为实例的重新分配或迁移提供了灵活性。

7. IPv6支持：ENI支持IPv6地址，允许实例通过IPv6互联网协议进行通信。

VPC endpoint

VPC Endpoint 是 AWS 提供的一种服务，它允许在 Virtual Private Cloud (VPC) 内部创建一个接口，通过这个接口可以直接与 AWS 服务通信，而无需通过 Internet Gateway (IGW) 或 NAT 设备。这种直接连接提高了安全性，因为流量不会离开 AWS 的网络，从而减少了数据泄露的风险。

VPC Endpoint 的主要特点和优势包括：

1. 直接连接：VPC Endpoint 为 AWS 服务提供了一个直接的网络路径，这意味着从 VPC 到 AWS 服务的流量不会通过公共互联网。

2. 安全性：由于流量不会离开 AWS 的网络，因此 VPC Endpoint 提高了数据传输的安全性。这有助于防止数据在传输过程中被拦截或篡改。

3. 性能：VPC Endpoint 可以提供更低的延迟和更高的吞吐量，因为它避免了通过 IGW 或 NAT 设备的额外跳转。

4. 成本效益：使用 VPC Endpoint 可以减少网络费用，因为它不需要额外的 IGW 数据传输费用。

5. 支持多种 AWS 服务：VPC Endpoint 支持多种 AWS 服务，包括 S3、DynamoDB、EC2 等。这使得您可以轻松地将这些服务集成到您的 VPC 中。

6. 灵活的路由和访问控制：您可以为 VPC Endpoint 定义路由表和访问策略，以精确控制流量的路由和访问权限。

7. 支持服务私有 DNS 名称：VPC Endpoint 使用服务的私有 DNS 名称，这使得在 VPC 内部访问 AWS 服务就像访问本地资源一样简单。

8. 可定制的带宽和性能：VPC Endpoint 支持不同的性能类别，您可以根据需要选择适当的带宽和性能配置。

9. 跨区域支持：某些类型的 VPC Endpoint 支持跨区域通信，这使得您可以在多个区域中共享服务。

VPC Endpoint 的类型主要有两种：

• Interface Endpoint：为单个 AWS 服务的特定操作提供接口。例如，您可以创建一个 Interface Endpoint 来访问 S3 或 DynamoDB。这种类型的 Endpoint 支持私有 DNS 名称和直接连接。

• Gateway Endpoint：为 AWS 服务提供网关功能，允许您通过 VPC 的 Internet Gateway 或 Virtual Private Gateway 访问服务。这种类型的 Endpoint 通常用于需要与互联网通信的服务，如 Amazon S3。