如何通过PuTTY Pageant使用堡垒主机连接到私有子网
内容提要
本文介绍了使用PuTTY和Pageant通过堡垒主机安全连接到私有子网中的实例。通过PuTTY和Pageant连接堡垒主机的方法增强了安全性，方便地管理SSH密钥。
延伸解读
堡垒主机与代理转发的安全逻辑
文章通过将私有子网实例的安全组入站规则限制为仅允许来自堡垒主机安全组（或堡垒子网CIDR）的SSH流量，实现了网络访问的最小化暴露。同时，在PuTTY中启用代理转发，使得堡垒主机能够使用本地Pageant中加载的私钥去连接私有实例，而无需在堡垒主机上存储私钥。这种组合既避免了私有实例直接暴露于互联网，又减少了私钥在中间节点落地的风险。
Pageant在密钥管理中的实际作用
Pageant作为PuTTY的SSH认证代理，将私钥保存在内存中，并在SSH连接时自动提供认证。在堡垒主机场景下，用户只需将公有和私有实例的私钥一次性添加到Pageant，之后通过PuTTY连接堡垒主机并开启代理转发，即可在堡垒主机上直接SSH到私有实例，无需重复输入密钥或手动指定密钥文件。这简化了多跳连接的操作，也降低了私钥文件被复制到跳板机的可能性。
网络配置中的关键依赖：NAT网关与路由表
文章为私有子网配置了NAT网关，并将其作为私有路由表的默认路由目标，而公有子网则指向互联网网关。这种设计使得私有子网内的实例可以主动访问互联网（例如下载更新），但互联网无法主动发起对私有实例的连接。需要注意的是，NAT网关需要分配弹性IP并部署在公有子网中，且创建后需要一定时间才能可用。路由表的正确关联（公有子网关联公有路由表，私有子网关联私有路由表）是确保流量走向正确的关键。
操作中的注意事项与潜在限制
文章在创建VPC时选择了“仅VPC”选项，并手动创建子网、网关和路由表，这要求用户对AWS网络组件有基本了解。启动EC2实例时，密钥对需选择RSA和.ppk格式，以便Pageant直接加载。私有实例的安全组入站规则中，源可以指定为堡垒主机的安全组或堡垒子网的CIDR（如192.168.2.0/24），文章推荐使用安全组引用方式，因为它更动态且易于管理。此外，连接时需在PuTTY中勾选“允许代理转发”，否则无法从堡垒主机跳转到私有实例。
Q&A
如何使用PuTTY和Pageant连接堡垒主机？
首先，使用PuTTY连接堡垒主机，输入其公有IP地址，然后在SSH设置中启用代理转发，最后通过Pageant上传私钥以访问私有子网的实例。
堡垒主机的作用是什么？
堡垒主机作为安全SSH连接的网关，允许用户间接访问私有子网中的实例，从而增强安全性，避免直接暴露这些实例于互联网。
在使用PuTTY和Pageant之前需要准备什么？
需要一个AWS账户和安装PuTTY，确保PuTTY和Pageant都已正确安装以便管理SSH密钥。
如何创建VPC和子网？
在AWS控制台中，搜索VPC并创建一个新的VPC，然后在该VPC中创建公有和私有子网，配置相应的路由和网关。
使用PuTTY和Pageant连接的安全性如何提高？
通过堡垒主机连接，私有实例不直接暴露于互联网，所有访问都通过堡垒主机进行，从而增加了安全性。
如何在私有子网中启动EC2实例？
在AWS控制台中，选择EC2并启动实例，确保选择私有子网并禁用公有IP分配，同时配置安全组以允许来自堡垒主机的SSH流量。
