AWS: VPC的介绍及使用（包含解决EC2的连接问题）

简介

VPC(Virtual Private Cloud)可以将云上的资源划分出来，做为一个隔离的云上数据中心的使用。

VPC的场景1(只包含一个公有子网)

接下来接下来我们做的步骤如下：

创建一个VPC
创建子网及在此子网中创建一个虚拟机
创建一个Internet网关，外部能访问此虚拟机
让外网能ping通此虚拟机

1. 创建一个VPC

点击创建VPC，如图，如果创建一个名为congvpc的VPC

2. 创建子网及在此子网中创建一个虚拟机

点击：子网-->创建子网

子网创建成功后，可以看到它会自动地创建一个路由表，有了这个路由表之后，在当前子网中的所有EC2实例之间才能互相发现、互相连接和通信。下面的这个路由172.30.0.0/24 表示这个子网中最多可以有251个EC2实例，它们之间可以通过此路由表进行互相通信。

接着创建一台EC2，所有的EC2必须存在于某个子网中，这里选择创建免费版的ubuntu18，如下图

EC2创建成功后，可以看到我们有了公网IP，如下图

找到这台实例所对应的网络安全组（相当于防火墙），然后设置入站规则，我们希望采用SSH连接，默认打开端口22

然后我们尝试使用putty进行连接

但实际上，结果显示连不上去。因为我们创建的VPC并不能被外网访问，如果需要被外网访问，必须创建一个internet网关。

3. 创建一个Internet网关，外部能访问此虚拟机

回到刚才创建VPC的页面，点击：internet网关--->创建internet网关

可以看上面创建的internet网关是detached状态，需要把它附加到我们之创建的VPC上。点击：此网关--->操作--->附加到VPC--->刚创建的VPC--->点击附加按钮，附加成功之后状态应该显示为attached状态。

但是这样还不够，internet网关只是给了VPC一个外访问的入口，我们知道一台机器能否在网络中被发现，必要要有路由表，我们可以在之前的路由表中新增一条路由规则，点击如下编辑路由。

输入0.0.0.0/0，目标选择我们刚创建的internet网关，点击保存，这样外网就可以通过internet网关，然后通过此路由规则就可以找到VPC内子网中的某台设备了。

我们尝试再次使用putty进行连接，结果显示连接成功到刚创建的EC2上了，如下图：

4. 让外网能ping通此虚拟机

尝试着去ping一下此Ip，结果显示是ping不通的

通常情况下，主要是因为网络安全组中没有打开ICMP，我们在网络安全组中编辑一下入站规则，选择类型为“所有ICMP-IPV4”

保存成功后，我们再次ping一下，结果显示成功

VPC的场景2（包含一个公有子网，和一个私有子网）

下图描述的也是一个VPC的常见场景，具体如下：

创建了一个VPC（VPC其实是一个虚拟的概念），一般在一个region下面
VPC下创建了一个公有子网（10.0.0.0/24）和一个私有子网（10.0.1.0/24），每个子网属于某一个可用区（available zone)
公有子网中的四个实例（3个EC2+1个NAT gateway）都拥有公网IP，他们所对应的路由表中都包含路由规则internet gateway(0.0.0.0/0---igw-id),所以都可以被外部访问
私有子网中有三个实例，它们必须能过NAT gateway 或 NAT instance才能上网（路由表中包括路由规则0.0.0.0/0---nat-gateway-id），他们不能被外网访问，通常数据库服务器存在私有子网中
Elastic Ip 就是公网IP，不论EC2是否重启，它的IP地址不会变。如果只是通过控制台简单的实例，它会自动分配公网IP，是AWS随机分配的，它不同于Elastic Ip ，EC2重启后，此自动分配的公网IP会发生变化。

终结点（endpoint)的使用

VPC 终端节点使您能够将 VPC 私密地连接到支持的 AWS 服务和 VPC 终端节点服务（由 PrivateLink 提供支持），而无需 Internet 网关、NAT 设备、VPN 连接或 AWS Direct Connect 连接。VPC 中的实例无需公有 IP 地址便可与服务中的资源通信。VPC 和其他服务之间的通信不会离开 Amazon 网络。

终端节点是虚拟设备。这些是水平扩展、冗余且具备高可用性的 VPC 组件，通过使用这些组件，可以在 VPC 中的实例与服务之间进行通信，而不会对网络通信带来可用性风险或带宽限制。