本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

受限复制的架构组件和要求

本节详细描述了最严格的场景，即所有通信仅通过私有通道进行，并详细说明了每个区域的要求和要构建的相应组件。

暂存子网

暂存子网是复制基础设施中最重要的部分。这是所有 MGN 复制服务器的启动位置，其中包含复制流量将定向到的 IP 地址。对于入站私有数据复制，请使用 “使用私有 IP” 选项配置 MGN 的复制服务器设置。

对于出站要求，您可以使用 “创建公有 IP” 选项来选择复制服务器是通过私有还是公有 IP 与所需 AWS 服务（Amazon S3、MGN、Amazon EC2）通信。MGN 文档中列出了提供出站互联网连接的标准选项：要么是带有互联网网关的公有 IP 地址，要么是带有 NAT 网关的私有 IP 地址。这两个选项都允许您实现简化的混合场景，在这种场景中，数据复制流量通过专用连接（Site-to-Site VPN 或 AWS Direct Connect）传输，而复制服务器则通过公共网络与 AWS 服务通信。 

但是，在封闭的企业环境中，通常禁止使用公有出站连接，这将是下一节中讨论的最严格的场景。在这种情况下，您可以在复制服务器的暂存子网中使用 AWS PrivateLink 和配置以下 VPC 终端节点：

要了解有关 VPC 端点的更多信息，请参阅 AWS PrivateLink 文档。

源子网

源子网是您要从中复制的任何子网。这是您的源服务器所在的位置，也是在这些服务器上安装 AWS Replication Agent 的地方。代理的网络要求包括：

代理还支持混合方案，在这种场景中， AWS 服务 可以通过公共网络（使用标准 HTTPS 流量）进行通信，而复制数据则通过专用网络发送到复制服务器的私有 IP。

本指南重点介绍一种限制性更强的场景，在这种场景中，甚至不允许从源系统发送 HTTPS 流量到 AWS 服务 ，因此在暂存子网中配置了以下端点：

目标子网

目标子网是您计划将服务器启动到的任何子网，包括测试和割接实例。这些子网完全没有网络连接要求，可以位于同一 AWS 账户 地区的任何其他 VPC 中。这是因为 Application Migration Service 使用 Amazon EC2 API 创建新的测试或割接实例（这就是暂存子网中的复制服务器需要与 Amazon EC2 的出站 HTTPS 连接的原因），并访问通过复制的 EBS 卷创建的区域 S3 快照。这些操作均无需进出目标子网的直接网络访问，因此这甚至可能是一个完全隔离的私有子网。

但是，MGN 还会在目标实例上自动安装多个工具，例如 EC2Config 或 AWS Systems Manager 代理（SSM 代理），这些活动需要目标实例和子网的出站 HTTPS/TCP 端口 443 连接。