关于AWS网络架构的思考
目录：
AWS概述
EMR Serverless
AWS VPC及其网络
关于AWS网络架构的思考
在AWS K8S中部署的业务，有不同的流量路径。
流量进入
客户端请求
普通的客户端流量流向从前到后是:
- 客户端
- 公司网关(endpoint)
- 业务的Endpoint Service
- Load Balancers(监听80和443)
- TargetGroupA(将LB的80端口请求转发到端口A)，targetGroupB(将LB的443端口请求转发到端口B)。TargetGroup的实例是需要通过 Auto Scaling Group 来注册的。
- Ingress Nginx，该服务是Load Balancer类型，内部 endpoints 80，443，A 和 B 四个端口，外部 endpoints 是 80 和 443。
- Ingress 通过路由规则将流量转发给业务service，再经过4层的负载均衡将流量发给pod。
通过以上步骤客户端流量到达了服务端。其中1～6部都是公司通用平台负责完成，业务只需要定义好ingress路由规则即可。
网络请求
对于其他第三方从网络上进入的流量，需要通过 API Gateway 来转发到内部网络。其流量从前到后的路径是：
- API GW
- VPC Link (内含NLB)
- NLB(Network Load Balancer) 监听 80 端口
- TargetGroup(将LB的80端口请求转发到端口C)，TargetGroup实例由Auto Scaling Group 注册。
- 业务Service改为NodePort类型，监听所有target group实例上C端口的请求。
通过以上步骤，网络流量就可以达到服务端。这部分全部都由业务方自己管理，其中第4步中 ASG 和 客户端请求的第5步的 ASG 是相同的，业务方只需要将其关联上就行：resource "aws_lb_target_group_attachment" "tg_http_attachment"
相同VPC内的其他服务
对于相同VPC内的其他服务，通过 Route53 将通过域名发出的请求转发到服务的 Endpoint，然后进入客户端请求的第3步。
流量到互联网
对于出去的流量，在 AWS 中有两种方式，一种是通过 NAT 出，一种是通过 Internet Gateway 直接出。
普通的 VPC 的子网是私有子网，不能直接与 Internet 通信，因此需要通过 NAT 转发到网络上。具体请参考博主另一篇文章 AWS VPC 网络。
由于流量从 NAT 出去的，所以网络的出口 ip 即 NAT 的 ip 地址。
如果 VPC 的子网是公有的，则可以直接与 Internet 通信，无需经过 NAT 转换。网络出口地址是 EC2 实例的 公有 ip 地址。
NAT 局限
正常服务到公网的流量走NAT就够了，但是如果服务需要大量建立与第三方某域名的连接，如代理服务，可能会出现 NAT 并发连接错误。举个例子来说，假设现在代理服务需要建立60万个连接来访问腾讯的某个域名，而该域名只能解析出5个ip地址。默认情况下，公有 NAT 网络只能关联2个弹性IP地址，每个弹性ip地址最多支持与唯一目标(由目标ip，端口和协议组合标识)建立55000个并发连接。因此两个弹性ip与5个目标ip最多同时建立 55000 * 2 * 5 = 550000 个连接。
在这种情况下，NAT 就会出现并发连接错误，即使只有55万个连接，这些连接也不是平均分配到不同目标的，显然也会出现并发连接错误。此时经 NAT 转发网络请求的方案是有问题的，可以考虑直接使用公有子网来访问网络。