企业官网建设流程全解析

下图概括了此例中包含的资源。此 VPC 在两个可用区中拥有**公有和私有子网。

每个公有子网都包含一个NAT 网关和一个负载均衡器节点。服务器在私有子网中运行，使用自动扩缩组启动和终止，并接收来自负载均衡器的流量。

服务器可以使用NAT 网关连接到互联网。服务器可以使用网关 VPC 端点连接到 Amazon S3。

这是一张典型 AWS 高可用 Web 架构图，核心目标是：公网访问 + 私网计算 + 多可用区容灾 + 安全隔离。我按“从外到内、从上到下”给你拆解。

一、最外层：Region（区域）

• 一个 Region 代表一个地理区域（如 us-east-1、ca-central-1）

• 图中所有资源都部署在同一个 Region 内

• 顶部的图标（S3、RDS、CloudWatch、IAM、Code 等）表示：

  • 这些是 Region 级服务

  • 不直接放在 VPC 里，但可以被 VPC 内资源访问

二、VPC（绿色大框）

• VPC = 私有网络

• 你可以理解为一张“自己完全控制的虚拟局域网”

• 里面定义了：

  • IP 地址范围（如 10.0.0.0/16）

  • 子网（Subnet）

  • 路由、安全策略

三、Availability Zone（左右两块）

• 左右各一个 Availability Zone（AZ）

• AZ 是 同一区域内、物理隔离的数据中心

• 设计目的：
  一整个机房挂了，业务还能活

四、Public Subnet（上半部分，浅绿色）

• 每个 AZ 里各有一个 Public Subnet

• Public Subnet 的特点

  • 路由表里有：

0.0.0.0/0→ Internet Gateway

• 可以 直接访问互联网

• 通常只放：

  • ALB（应用负载均衡）

  • NAT Gateway

• 不放业务服务器

图中组件

1️⃣ Application Load Balancer（ALB）

• 跨两个 AZ

• 对外暴露公网访问入口

• 功能：

  • 接收用户 HTTP / HTTPS 请求

  • 把请求转发到 Private Subnet 里的服务器

  • 做健康检查

2️⃣ NAT Gateway（每个 AZ 一个）

• 给 私有子网里的服务器“出网用”

• 私有服务器：

  • ❌ 不能被互联网访问

  • ✅ 可以通过 NAT 访问外部（下载更新、访问 API）

• 重要设计点：
  每个 AZ 一个 NAT，避免单点故障 & 跨 AZ 流量收费

五、Private Subnet（下半部分，浅蓝色）

真正跑业务的地方

Private Subnet 特点

• 没有直连 Internet Gateway 的路由

• 外部不能直接访问

• 安全性高

图中组件

1️⃣ EC2 Server（业务服务器）

• 只分配 私有 IP

• 只能被：

• ALB 访问

• 内部服务访问

2️⃣ Auto Scaling Group（ASG）

• 横跨两个 AZ

• 功能：

  • 流量高 → 自动加机器

  • 流量低 → 自动减机器

  • 机器坏了 → 自动补

这就是高可用 + 自动扩缩容的核心

六、Security Group（橙色虚线框）

Security Group = 状态型防火墙

控制：

• ALB 能访问 Server 的哪些端口

• Server 是否能访问数据库 / 外部

常见规则：

• Server 只允许来自 ALB 的流量

• 不允许公网直接访问 Server

七、S3 Gateway（左侧）

VPC Endpoint（S3 Gateway Endpoint）

作用：

• 私有子网访问 S3 不走公网

• 不经过 NAT

• 更安全、更便宜

常用于：

• 日志

• 静态资源

• 备份

八、整体访问流程（非常重要）

用户访问流程

用户浏览器 → Internet → ALB（Public Subnet） → EC2 Server（Private Subnet）

私有服务器访问外部

EC2（Private） → NAT Gateway（Public） → Internet

私有服务器访问 S3

EC2（Private） → S3 Gateway Endpoint → S3

九、这套架构解决了什么问题？

✅ 高可用（Multi-AZ）
✅ 安全（业务不暴露公网）
✅ 可扩展（Auto Scaling）
✅ 成本可控（私网 + Endpoint）
✅ 企业级标准架构（生产环境常用）