ทีละขั้นตามตัวเลขในภาพ
- บริการใน VPC เดียวกันเรียกกันด้วยชื่อ
.internalและ Security Group ของ db มีกฎอนุญาตให้ api เข้าพอร์ต 5432 - web ไม่มีกฎอนุญาต จึงเข้า db ไม่ได้ (บริการใหม่อยู่ใน กลุ่มเริ่มต้น ที่คุยกันได้ทุกพอร์ต ต้องย้าย db มาอยู่กลุ่มของตัวเองก่อน กฎจึงมีผล)
- VPC Peering เชื่อม 2 Project เข้าด้วยกัน แต่ยังไม่เปิดอะไรให้ จนกว่าจะเพิ่มกฎใน Security Group ที่ต้นทางเป็น VPC ที่เชื่อมไว้
- บริการใน Subnet ที่เลือกออกอินเทอร์เน็ตผ่าน NAT Gateway ด้วย IP คงที่ที่เป็นของคุณคนเดียว คู่ค้าจึงใส่ IP นี้ใน whitelist ได้
| เครื่องมือ | ตอบคำถาม | อ่านต่อ |
|---|---|---|
| VPC และ Subnet | บริการไหนอยู่ในเครือข่ายเดียวกัน | VPC และ Subnet |
| Security Group | ใครเข้าบริการไหนได้ ที่พอร์ตอะไร | Security Group |
| VPC Peering | Project ไหน 2 ตัวใน Region เดียวกันคุยกันได้ | VPC Peering |
| Network Hub | เชื่อมหลาย VPC หรือ VPC ที่อยู่คนละ Region | Network Hub |
| VPN Gateway | ให้ออฟฟิศและพนักงานเข้าถึง VPC | VPN Gateway |
| Firewall | กรองทราฟฟิกระหว่าง VPC และออกอินเทอร์เน็ตด้วยกฎที่เรียงลำดับ | Firewall บน Network Hub |
| NAT Gateway | ออกอินเทอร์เน็ตด้วย IP อะไร | NAT Gateway |
วางช่วง IP ของแต่ละ Project ไม่ให้ทับกันตั้งแต่ก่อนสร้างบริการ จะเชื่อม Peering หรือ Network Hub ได้ภายหลังโดยไม่ต้องย้ายช่วง IP (ดู วางเครือข่าย)
VPC Peering เชื่อม 2 VPC ที่อยู่ Region เดียวกัน ถ้าต้องเชื่อมตั้งแต่ 3 VPC ขึ้นไป เชื่อม VPC ต่าง Region หรือให้ออฟฟิศเข้ามาผ่าน VPN ให้ใช้ Network Hub