亚马逊AWS官方博客
·
Network Firewall 部署小指南（四）通过私网 NAT 实现零停机变更
内容提要
AWS Network Firewall（NFW）是一种保护Amazon VPC的网络安全服务。本文介绍了一种新架构，通过私有NAT网关，仅过滤VPC私有子网到互联网的出站流量，不影响现有公网NAT和业务子网，实现零停机，满足业务连续性和安全性需求。并对比传统方案，突出新架构优势。
关键要点
-
AWS Network Firewall（NFW）是一种保护Amazon VPC的网络安全服务。
-
新架构通过私有NAT网关，仅过滤VPC私有子网到互联网的出站流量。
-
新架构实现零停机，满足业务连续性和安全性需求。
-
传统出站流量检查模型会导致ELB流量经过NFW，无法满足客户需求。
-
客户希望复用原有NAT网关公有IP地址，避免变更第三方厂商的白名单。
-
新架构通过拆分公有子网，实现ELB流量隔离。
-
新增私有NAT网关的部署方案保持原有公有子网NAT网关IP地址不变。
-
对比四种部署架构的优缺点，提供方案选型参考。
-
实施步骤包括切换路由表和测试访问延迟。
-
新架构平衡了业务连续性和安全性需求，为企业客户提供可取的NFW部署选择。
延伸解读
新架构的优势
新部署架构通过私有NAT网关实现了对VPC私有子网出站流量的过滤，避免了传统方案中ELB流量的干扰。这种设计不仅提升了安全性，还确保了业务的连续性，特别适合对网络稳定性要求高的企业。
实施过程中的注意事项
在实施新架构时，需注意网络中断的时间和影响。虽然新方案旨在实现零停机，但在切换路由表时，现有连接可能会中断，应用需要重连。因此，建议在低峰期进行操作，以减少对业务的影响。
与传统方案的比较
与传统的出站流量检查模型相比，新架构在保持原有NAT网关IP地址不变的同时，避免了对第三方厂商白名单的影响。这种灵活性使得企业在进行网络安全升级时，能够更顺利地过渡，降低了切换成本。
延伸问答
AWS Network Firewall（NFW）是什么？
AWS Network Firewall（NFW）是一种保护Amazon VPC的网络安全服务，提供全面的入站和出站流量检查和防护功能。
新架构如何实现零停机变更？
新架构通过私有NAT网关，仅过滤VPC私有子网到互联网的出站流量，避免影响现有公网NAT，从而实现零停机变更。
传统出站流量检查模型的缺点是什么？
传统模型会导致ELB流量经过NFW，无法满足客户仅过滤私有子网出站流量的需求，影响业务连续性。
客户希望复用原有NAT网关公有IP地址的原因是什么？
客户希望避免变更第三方厂商的白名单，减少切换成本，因此希望复用原有NAT网关公有IP地址。
实施新架构的步骤有哪些？
实施步骤包括切换路由表和测试访问延迟，以确保变更过程的顺利进行。
新架构与传统方案相比有哪些优势？
新架构避免了公网业务流量经过NFW，保持了原有NAT网关IP地址不变，实现了零停机，满足了业务连续性和安全性需求。
