Chapter 04 - Networking
本章目標
看完本章後，你應該可以回答：
- VPC、subnet、route table、IGW、NAT gateway 的關係是什麼？
- public subnet 和 private subnet 怎麼判斷？
- Security Group 和 NACL 差在哪裡？
- VPC endpoint、VPC peering、Transit Gateway 各自解什麼問題？
一句話
Networking 決定 AWS 資源能不能被存取、從哪裡被存取、走 public internet 還是 private path。
架構位置
Networking 是 AWS 架構的骨架。Compute、database、load balancer、private service access 都會放在 VPC 網路設計裡。
常見服務與概念
- VPC
- public subnet / private subnet
- route table
- internet gateway
- NAT gateway
- Security Group
- Network ACL
- VPC endpoint
- VPC peering
- Transit Gateway
- Site-to-Site VPN
- Direct Connect
- Route 53
PM 視角
如果需求提到「不能暴露在 public internet」、「內部系統串接」、「供應商 private connectivity」、「跨帳號或跨 VPC 連線」，PM 就要知道這不是單純開 API，而是 network architecture 問題。
Developer / DevOps 視角
工程師常遇到的問題是：service 明明存在，但 route、security group、NACL、DNS 或 endpoint 沒設對，導致無法連線。
考試怎麼問
常見題型會問：
- private subnet 裡的 EC2 要更新套件，但不能被 internet inbound access
- application 要私網存取 S3 或 DynamoDB
- 多個 VPC 要集中互通
- on-premises 要穩定連 AWS
常見陷阱
| 陷阱 | 正確方向 |
|---|---|
| public subnet 只看名字 | 要看 route table 是否指向 internet gateway |
| private subnet 出網用 IGW | 通常要 NAT gateway |
| SG 和 NACL 混淆 | SG stateful，NACL stateless |
| S3 private access 一律走 NAT | Gateway endpoint 通常更合適也更省成本 |