VPC 可以理解为 AWS 里的私有网络空间。EC2 一定运行在某个 Subnet 中，Subnet 属于 VPC。
VPC 与 Subnet
VPC 是逻辑隔离的网络区域。Subnet 是 VPC 内的子网，用于按照安全或业务需求分组资源。
常见分法：
- Public Subnet：放 Web Server、Load Balancer 等面向公网资源
- Private Subnet：放数据库、内部服务等不直接暴露的资源
外部访问 EC2 的典型路径：
Internet -> Internet Gateway -> Network ACL -> Security Group -> EC2Internet Gateway
Internet Gateway 让 VPC 能与互联网双向通信。公有子网中的资源如果要被公网访问，需要：
- 子网路由表指向 IGW
- 资源有公网 IP
- 安全组允许入站
- NACL 允许进出
NAT Gateway
NAT Gateway 让私有子网中的实例访问互联网，但外部互联网不能主动访问这些实例。
典型用途：私有 EC2 下载补丁、调用外部 API。
VPN 与 Direct Connect
Client VPN：远程员工安全接入 AWS 或公司网络。
Site-to-Site VPN：公司本地数据中心和 VPC 之间建立加密隧道。
Direct Connect：专用物理链路，低延迟、高带宽，不走公网。
PrivateLink：通过私网访问 AWS、第三方或自建服务，不经过公网。
Transit Gateway
Transit Gateway 是连接多个 VPC 和本地网络的中心枢纽。它适合多 VPC、多账号、混合云环境。
Security Group 与 NACL
Security Group 是实例级防火墙。
- 有状态
- 只写允许规则
- 控制单个资源
- 返回流量自动允许
Network ACL 是子网级防火墙。
- 无状态
- 支持允许和拒绝
- 控制整个子网
- 入站出站都要写规则
简单记忆：
- Security Group 是实例门卫
- NACL 是子网海关
日常项目中安全组更常用，NACL 适合做更粗粒度的子网边界控制。