API 閘道使用案例

以下是公有和私有 NAT 閘道的範例使用案例。

從私有子網存取網際網路

您可以使用公有 NAT 閘道讓私有子網中的執行個體能將傳出流量傳送到網際網路，同時阻止網際網路建立與執行個體的連線。

概要

以下圖表說明此使用案例。有兩個可用區域，每個可用區域中皆有兩個子網。每個子網的路由表決定流量的路由方式。在可用區域 A 中，公有子網中的執行個體可以經由通往網際網路閘道的路由到達網際網路，而私有子網中的執行個體沒有通往網際網路的路由。在可用區域 B 中，公有子網包含一個 NAT 閘道，私有子網中的執行個體可經由通往公有子網中 NAT 閘道的路由到達網際網路。私有與公有 NAT 閘道皆會將執行個體的來源私有 IPv4 位址映射至私有 NAT 閘道的私有 IPv4 位址；但如果是公有 NAT 閘道，網際網路閘道會將公有 NAT 閘道的私有 IPv4 位址映射至與 NAT 閘道相關聯的彈性 IP 位址。傳送回應流量至執行個體時，無論是公有或私有 NAT 閘道，NAT 閘道都會將地址轉譯回原始來源 IP 地址。

請注意，如果可用區域 A 的私有子網路中的執行個體也需要連線至網際網路，您可以建立從此子網路到可用區域 B 的 NAT 閘道的路由。或者，您也可以在每個包含需要網際網路存取資源的可用區域中建立 NAT 閘道，以提高彈性。如需範例圖表，請參閱範例：在私有子網路和 NAT 具有伺服器的 VPC。

路由

與可用區域 A 中公有子網相關聯的路由表如下。第一個項目是本機路由；讓子網中的執行個體能使用私有 IP 地址與 VPC 中的其他執行個體通訊。第二個項目會將所有其他子網流量傳送到網際網路閘道，使子網中的執行個體能夠存取網際網路。

與可用區域 A 中私有子網相關聯的路由表如下。項目是本機路由，讓子網中的執行個體能使用私有 IP 地址與 VPC 中的其他執行個體通訊。此子網中的執行個體無法存取網際網路。

與可用區域 B 中公有子網相關聯的路由表如下。第一個項目是本機路由，讓子網中的執行個體能使用私有 IP 地址與 VPC 中的其他執行個體通訊。第二個項目會將所有其他子網流量傳送到網際網路閘道，使子網中的 NAT 閘道能夠存取網際網路。

與可用區域 B 中私有子網相關聯的路由表如下。第一個項目是本機路由；讓子網中的執行個體能使用私有 IP 地址與 VPC 中的其他執行個體通訊。第二個項目會將所有其他子網的流量傳送到 NAT 閘道。

如需更多詳細資訊，請參閱 管理子網路路由表。

測試公有 NAT 閘道

在您建立 NAT 閘道並更新您的路由表之後，您可以從您私有子網中的執行個體 ping 網際網路上的遠端地址，測試其是否能連線到網際網路。如需如何執行此作業的範例，請參閱 測試網際網路連線。

若您可以連線到網際網路，您也可以測試網際網路流量是否透過 NAT 閘道路由傳送：

如果這些測試失敗，請參閱疑難排解 NAT 閘道。

測試網際網路連線

以下範例會示範私有子網中的執行個體可否連線到網際網路的測試方式。

設定 Windows 的 SSH 代理程式轉送

您可以使用 Windows 中可用的 OpenSSH 用戶端，或安裝您偏好的 SSH 用戶端 (例如 PuTTY)。

OpenSSH

如本文所述，安裝 OpenSSH for Windows：OpenSSH for Windows 入門。然後將您的金鑰新增到身分驗證代理程式。如需詳細資訊，請參閱《OpenSSH for Windows 中的金鑰型身分驗證》。

PuTTY

1. 如果您尚未安裝 Pageant，請轉至 PuTTY 下載頁面下載及安裝。

2. 將您的私有金鑰轉換成 .ppk 格式。如需詳細資訊，請參閱 Amazon EC2 User Guide 中的 Convert your private key using PuTTYgen。

3. 啟動 Pageant，在任務列的 Pageant 圖示 (可能隱藏) 上按一下滑鼠右鍵，然後選擇 Add Key (新增金鑰)。選取您建立的 .ppk 檔案，如需要則輸入密碼短語，然後選擇 Open (開啟)。

4. 啟動 PuTTY 工作階段，並使用其公有 IP 地址連線至您公有子網中的執行個體。如需詳細資訊，請參閱 Connect to your Linux instance using PuTTY。在 Auth (身分驗證) 類別中，確認您已選取 Allow agent forwarding (允許代理程式轉送) 選項，並將 Private key file for authentication (身分驗證的私有金鑰檔案) 方塊維持空白。

使用允許清單中的 IP 地址存取您的網路

您可以使用私有 NAT 閘道，利用允許清單中的地址集區，實現從 VPC 對內部部署網路的通訊。您可以經由具有允許清單 IP 地址範圍內 IP 地址的私有 NAT 閘道，路由來自以內部部署網路為目的地的子網的流量，而不用從允許清單 IP 地址範圍中為每個執行個體指派單獨的 IP 地址。

概要

以下圖表顯示執行個體如何經由 Site-to-Site VPN 存取內部部署資源。來自執行個體的流量透過 VPN 連接路由到虛擬私有閘道、客戶閘道，然後到內部部署網路中的目的地。但是，假設目的地僅允許來自特定 IP 地址範圍 (例如 100.64.1.0/28) 的流量，此將阻止來自這些執行個體的流量到達內部部署網路。

下圖顯示此案例組態的重要元件。VPC 具有其原始 IP 地址範圍和允許的 IP 地址範圍。VPC 具有來自允許 IP 地址範圍的子網以及一個私有 NAT 閘道。會將來自以內部部署網路為目的地的執行個體的流量發送至 NAT 閘道，然後再路由到 VPN 連接。內部部署網路會接收來自具有 NAT 閘道來源 IP 地址 (來自允許的 IP 地址範圍內) 的執行個體的流量。

資源

建立或更新資源，如下所示：

路由

以下為與第一個子網相關聯的路由表。每個 VPC CIDR 都有一個本地路由。本地路由讓子網中的資源能使用私有 IP 地址與 VPC 中的其他資源通訊。第三個條目將以內部部署網路為目的地的流量發送至私有 NAT 閘道。

以下為與第二個子網相關聯的路由表。每個 VPC CIDR 都有一個本地路由。本地路由讓子網中的資源能使用私有 IP 地址與 VPC 中的其他資源通訊。第三個條目將以內部部署網路為目的地的流量發送至虛擬私有閘道。

實現重疊網路之間的通訊

您可以使用私有 NAT 閘道實現網路之間的通訊，即使網路具有重疊的 CIDR 範圍。例如，假設 VPC A 中的執行個體需要存取由 VPC B 中執行個體提供的服務。

概要

下圖顯示此案例組態的重要元件。首先，IP 管理團隊要決定哪些位址範圍可以重疊 (不可路由位址範圍)，哪些範圍不能重疊 (可路由位址範圍)。IP 管理團隊根據請求，從可路由地址範圍的集區中將地址分配給專案。

每個 VPC 都有其不可路由的原始 IP 地址範圍，以及 IP 管理團隊指派給該 VPC 的可路由 IP 地址範圍。VPC A 具有一個來自其可路由範圍的子網以及一個私有 NAT 閘道。私有 NAT 閘道從其子網取得其 IP 地址。VPC B 具有一個來自其可路由範圍的子網以及一個 Application Load Balancer。Application Load Balancer 從其子網取得其 IP 地址。

以 VPC B 不可路由子網中的執行個體為目的地之來自 VPC A 不可路由子網中的執行個體的流量經由私有 NAT 閘道發送，然後路由至傳輸閘道。傳輸閘道將流量發送至 Application Load Balancer，由其將流量路由至 VPC B 不可路由子網中的其中一個目標執行個體。從轉換閘道到 Application Load Balancer 的流量具有私有 NAT 閘道的來源 IP 地址。因此，來自負載平衡器的回應流量使用私有 NAT 閘道的地址作為其目的地。將回應流量發送至傳輸閘道，然後路由至私有 NAT 閘道，其會將目的地轉換為 VPC A 不可路由子網中的執行個體。

資源

建立或更新資源，如下所示：

路由

以下為 VPC A 中不可路由子網的路由表。

以下為 VPC A 中可路由子網的路由表。

以下為 VPC B 中不可路由子網的路由表。

以下為 VPC B 中可路由子網的路由表。

以下為傳輸閘道路由表。