Chapter 04 - Networking
本章目标
看完本章后，你应该可以回答：
- VPC、subnet、route table、IGW、NAT gateway 的关系是什么？
- public subnet 和 private subnet 怎么判斷？
- Security Group 和 NACL 差在哪里？
- VPC endpoint、VPC peering、Transit Gateway 各自解什么问题？
一句话
Networking 決定 AWS 资源能不能被访问、從哪里被访问、走 public internet 还是 private path。
架构位置
Networking 是 AWS 架构的骨架。Compute、database、load balancer、private service access 都会放在 VPC 网络设计里。
常见服务与概念
- VPC
- public subnet / private subnet
- route table
- internet gateway
- NAT gateway
- Security Group
- Network ACL
- VPC endpoint
- VPC peering
- Transit Gateway
- Site-to-Site VPN
- Direct Connect
- Route 53
PM 视角
如果需求提到「不能暴露在 public internet」、「内部系统串接」、「供应商 private connectivity」、「跨账号或跨 VPC 连线」，PM 就要知道这不是单纯开 API，而是 network architecture 问题。
Developer / DevOps 视角
工程师常遇到的问题是：service 明明存在，但 route、security group、NACL、DNS 或 endpoint 沒设對，导致无法连线。
考试怎么问
常见题型会问：
- private subnet 里的 EC2 要更新套件，但不能被 internet inbound access
- application 要私网访问 S3 或 DynamoDB
- 多个 VPC 要集中互通
- on-premises 要稳定连 AWS
常见陷阱
| 陷阱 | 正确方向 |
|---|---|
| public subnet 只看名字 | 要看 route table 是否指向 internet gateway |
| private subnet 出网用 IGW | 通常要 NAT gateway |
| SG 和 NACL 混淆 | SG stateful，NACL stateless |
| S3 private access 一律走 NAT | Gateway endpoint 通常更合適也更省成本 |