VPC 網路架構

🧱 白話：VPC 用的 10.x.x.x 是「私有 IP」——像公司內部分機號碼，全世界的內網都能重複用、但從網際網路直接找不到；這也是為什麼 Private Subnet 出網要靠 NAT。公有/私有 IP 的完整地基見 基礎篇 ch01 網路基礎。

• VPC（Virtual Private Cloud）：在 AWS 中的私有網路空間，指定 CIDR 範圍（如 10.0.0.0/16）。CIDR 記法是「IP／前綴長度」：前綴長度代表前面幾個 bit 是固定不變的「網路部分」，剩下的 bit 才是可以配給機器用的「主機部分」——/16 代表前 16 bit 固定，剩下 16 bit 可用，等於這個網路裡最多能容納 2¹⁶（約 6.5 萬）個 IP；數字愈大代表能配置的 IP 愈少（例如 /24 只剩 2⁸＝256 個），子網路（Subnet）就是把這一大塊 CIDR 再切成更小的區塊分給不同用途使用。每個 Region 有一個預設 VPC。
• Subnets（子網路）：VPC 內的細分網段，必須在特定 AZ。
  ・Public Subnet：有路由指向 Internet Gateway，EC2 有 Public IP 即可對外。
  ・Private Subnet：沒有直接對外路由，需透過 NAT 才能出網。
• Internet Gateway（IGW）：讓 VPC 連接互聯網。Public Subnet 的路由表設 0.0.0.0/0 → IGW。一個 VPC 只能有一個 IGW。
• Egress-Only Internet Gateway：IPv6 專用的「只出不進」閘道。IPv6 位址本身就是全球可路由的公有位址，沒有 NAT 這回事；要讓私有子網路的 IPv6 資源能主動對外、但外部不能主動連入，就在路由表設 ::/0 → Egress-Only IGW。等同 IPv6 版的 NAT Gateway（NAT Gateway 只處理 IPv4），而且免費（只收資料傳輸費）。
• Route Table（路由表）：每個 Subnet 都關聯一個路由表，決定流量走向。Public Subnet 路由表包含 IGW 路由；Private Subnet 路由表包含 NAT Gateway 路由。
  ・最長前綴符合（Longest Prefix Match）：多條路由都符合目的地時，越精確（前綴越長）的優先。例如 10.0.1.0/24 勝過 0.0.0.0/0——這就是「預設走 NAT、特定網段例外導到 Peering／VPN」能成立的原因。
• 保留 IP：每個 Subnet 有 5 個 IP 被 AWS 保留（如 10.0.0.0 網路位址、10.0.0.1 VPC Router、10.0.0.2 DNS、10.0.0.3 未來使用、10.0.0.255 廣播）。
• Secondary CIDR：VPC 的 IP 快用完時，可以追加次要 CIDR 區塊，再在新區塊裡建子網路，不必重建 VPC 或搬遷資源。新區塊一樣不能跟既有 CIDR 或已對接的 VPC 重疊。

🧱 白話：NAT ＝ 全家共用一支對外電話——出門時把「寄件人」從私有 IP 改寫成公有 IP 並記在小本子上，回信查本子轉交；因為本子只記「由內部發起」的對話，外面永遠無法主動打進來。→ 基礎篇 ch01 的 NAT 原理。

• NAT Gateway（AWS 管理）：
  ・放在 Public Subnet，讓 Private Subnet 的資源可以出外網（下載更新等），但外部無法主動連入。
  ・AWS 完全管理，自動高可用，按小時 + 資料傳輸量計費。
  ・每個 AZ 一個 NAT Gateway，避免跨 AZ 流量費用和單點故障。
  ・不支援 Security Groups，不能當 Bastion Host。
• NAT Instance（自己管理的 EC2）：
  ・需手動管理（更新、擴展、HA）。
  ・必須停用 EC2 的 Source/Destination Check。
  ・可以當 Bastion Host（SSH 跳板機），支援 Security Groups。
  ・費用較低但維運複雜，現在幾乎不用了。
• Bastion Host（跳板機）vs Session Manager：
  ・Bastion Host：放在 Public Subnet 的一台 EC2，管理者先 SSH 到它、再跳進 Private Subnet 的機器，私有機不需要公有 IP。缺點是要開 22 埠、要管金鑰、跳板機本身就是攻擊面。
  ・Systems Manager Session Manager：現代做法——EC2 裝好 SSM Agent，透過 AWS API 開 shell，不用開 SSH 埠、不用跳板機、不用管金鑰，操作紀錄還能送到 CloudTrail／S3。
  ・注意 NAT 只能讓私有機「出去」，不能拿來讓外部連進私有機。

🧱 白話：SG 和 NACL 其實都是防火牆，最核心的差異是「警衛記不記得你」——Stateful（SG）＝警衛記得你進來過，回應直接放行；Stateless（NACL）＝每次進出都重新盤查，所以進出要分開設規則。→ 基礎篇 ch04 防火牆與網路隔離。

• Security Group（SG）：
  ・作用在執行個體（Instance）層級
  ・Stateful：允許 Inbound，對應的 Outbound 自動允許
  ・只有 Allow 規則，沒有 Deny
  ・規則按所有 SG 取聯集評估
• NACL（Network ACL）：
  ・作用在子網路（Subnet）層級
  ・Stateless：Inbound 和 Outbound 要分別設定規則。常見漏設：允許了 Inbound 443，卻忘了放行回應封包走的 Outbound 臨時埠（Ephemeral Ports，1024–65535），結果連線建立不起來
  ・有 Allow 和 Deny 規則（可以封鎖特定 IP）
  ・規則按號碼由小到大依序評估，第一條符合就執行

連不通時的兩個排查工具：

• VPC Flow Logs：記錄網路介面（ENI）層級的 IP 流量中繼資料——來源／目的 IP、埠、協定、ACCEPT 或 REJECT，送到 CloudWatch Logs 或 S3。用來事後分析連線問題與安全事件。它記的是封包層級的流量，不是 API 呼叫（那是 CloudTrail）。
• VPC Reachability Analyzer：指定來源與目的，做「設定層面」的路徑分析，直接告訴你是哪一個 SG／NACL／路由表擋住，不用真的送封包。適合「兩台 EC2 連不通，想知道卡在哪」。

• VPC Peering：兩個 VPC 之間建立私有網路連線，流量走 AWS 骨幹。
  ・可以跨 Region 和跨帳號。
  ・不具傳遞性（Non-transitive）：A ↔ B、B ↔ C，但 A 不能透過 B 到 C，需另外設定 A ↔ C。
  ・CIDR 不能重疊。
• Transit Gateway：Hub-and-Spoke 架構，讓多個 VPC 和 On-Premises 透過單一中央閘道互連。
  ・解決 VPC Peering 不具傳遞性的問題，N 個 VPC 只需 N 條連線（而非 N×(N-1)/2）。
  ・支援跨 Region 和跨帳號（AWS Resource Access Manager 共享）。
  ・支援 IP Multicast（VPC Peering 不支援）。

VPC Endpoints（不走公網存取 AWS 服務）：

• Gateway Endpoint：只支援 S3 和 DynamoDB。免費，設定在路由表。流量不走公網，走 AWS 內部網路。
• Interface Endpoint（PrivateLink）：支援大多數其他 AWS 服務（如 Kinesis、SQS、SSM）。在 Subnet 建立一個 ENI（有私有 IP），有使用費。
• VPC Endpoint Policy：掛在端點上的資源政策，限制「透過這個端點能存取哪些資源」，例如只准存取公司自己的 S3 bucket，防止有人透過端點把資料搬到外部 bucket。SG／NACL 管 IP 與埠、路由表管走向，都管不到 bucket 層級，這件事只有 Endpoint Policy 做得到。

On-Premises 連接方式：

• Site-to-Site VPN：透過公共網路加密隧道連接 On-Premises 和 VPC。設定快（幾分鐘），但走公網（延遲較高、頻寬有限）。費用低。
• AWS Direct Connect（DX）：專線實體連接，不走公共網路。低延遲、高頻寬、穩定。設定需要數週至數月（需與電信商協商）。費用高但效能好。DX 本身不加密；合規要求加密時，在 DX 上再疊一條 IPsec Site-to-Site VPN（VPN over DX），同時拿到專線的穩定與 VPN 的加密。
• Direct Connect Gateway：讓一條 Direct Connect 連接多個 Region 的 VPC。