下图概括了此例中包含的资源。此 VPC 在两个可用区中拥有**公有和私有子网。
每个公有子网都包含一个NAT 网关和一个负载均衡器节点。服务器在私有子网中运行，使用自动扩缩组启动和终止，并接收来自负载均衡器的流量。
服务器可以使用NAT 网关连接到互联网。服务器可以使用网关 VPC 端点连接到 Amazon S3。
这是一张典型 AWS 高可用 Web 架构图，核心目标是：公网访问 + 私网计算 + 多可用区容灾 + 安全隔离。我按“从外到内、从上到下”给你拆解。
一、最外层：Region（区域）
一个 Region 代表一个地理区域（如 us-east-1、ca-central-1）
图中所有资源都部署在同一个 Region 内
顶部的图标（S3、RDS、CloudWatch、IAM、Code 等）表示：
这些是 Region 级服务
不直接放在 VPC 里，但可以被 VPC 内资源访问
二、VPC（绿色大框）
VPC = 私有网络
你可以理解为一张“自己完全控制的虚拟局域网”
里面定义了：
IP 地址范围（如 10.0.0.0/16）
子网（Subnet）
路由、安全策略
三、Availability Zone（左右两块）
左右各一个 Availability Zone（AZ）
AZ 是 同一区域内、物理隔离的数据中心
设计目的：
一整个机房挂了，业务还能活
四、Public Subnet（上半部分，浅绿色）
每个 AZ 里各有一个 Public Subnet
Public Subnet 的特点
- 路由表里有：
0.0.0.0/0→ Internet Gateway可以 直接访问互联网
通常只放：
ALB（应用负载均衡）
NAT Gateway
不放业务服务器
图中组件
1️⃣ Application Load Balancer（ALB）
跨两个 AZ
对外暴露公网访问入口
功能：
接收用户 HTTP / HTTPS 请求
把请求转发到 Private Subnet 里的服务器
做健康检查
2️⃣ NAT Gateway（每个 AZ 一个）
给 私有子网里的服务器“出网用”
私有服务器：
❌ 不能被互联网访问
✅ 可以通过 NAT 访问外部（下载更新、访问 API）
重要设计点：
每个 AZ 一个 NAT，避免单点故障 & 跨 AZ 流量收费
五、Private Subnet（下半部分，浅蓝色）
真正跑业务的地方
Private Subnet 特点
没有直连 Internet Gateway 的路由
外部不能直接访问
安全性高
图中组件
1️⃣ EC2 Server（业务服务器）
只分配 私有 IP
只能被：
ALB 访问
内部服务访问
2️⃣ Auto Scaling Group（ASG）
横跨两个 AZ
功能：
流量高 → 自动加机器
流量低 → 自动减机器
机器坏了 → 自动补
这就是高可用 + 自动扩缩容的核心
六、Security Group（橙色虚线框）
Security Group = 状态型防火墙
控制：
ALB 能访问 Server 的哪些端口
Server 是否能访问数据库 / 外部
常见规则：
Server 只允许来自 ALB 的流量
不允许公网直接访问 Server
七、S3 Gateway（左侧）
VPC Endpoint（S3 Gateway Endpoint）
作用：
私有子网访问 S3 不走公网
不经过 NAT
更安全、更便宜
常用于：
日志
静态资源
备份
八、整体访问流程（非常重要）
用户访问流程
用户浏览器 → Internet → ALB（Public Subnet） → EC2 Server（Private Subnet）私有服务器访问外部
EC2（Private） → NAT Gateway（Public） → Internet私有服务器访问 S3
EC2（Private） → S3 Gateway Endpoint → S3九、这套架构解决了什么问题？
✅ 高可用（Multi-AZ）
✅ 安全（业务不暴露公网）
✅ 可扩展（Auto Scaling）
✅ 成本可控（私网 + Endpoint）
✅ 企业级标准架构（生产环境常用）
