Hạn chế lưu lượng giữa các AWS VPC

Tôi có hai VPC: A và B.

Tôi muốn bất kỳ nút nào trong A có thể mở kết nối TCP tới bất kỳ nút nào trong B, nhưng không phải là cách khác. Bất kỳ nút nào trong B cũng phải có khả năng mở các kết nối gửi đi tới các máy chủ internet công cộng. cách tốt nhất để đạt được điều này là gì?

Trường hợp sử dụng: VPC A chứa nhiều dịch vụ nội bộ nhạy cảm và VPC B chứa các nút chạy mã hoàn toàn không đáng tin cậy. VPC A cần thực hiện các yêu cầu HTTP tới VPC B, nhưng không có dịch vụ nội bộ nào được hiển thị.

VPC ngang hàng cho phép kết nối trực tiếp giữa bất kỳ nút nào trong A và B - điều này không thể bị hạn chế ở cấp độ định tuyến. Các nhóm bảo mật có thể được sử dụng để chặn các kết nối gửi đi nhưng hơi phức tạp để định cấu hình vì không có quy tắc TỪ CHỐI.

ACL mạng không hữu ích ở đây, vì lưu lượng quay lại phải được phép quay lại từ B -> A.

Có sự lựa chọn nào khác không? Một cái gì đó giống như cổng NAT, chỉ cho phép mở kết nối theo một hướng? AWS hỗ trợ các cổng NAT riêng, nhưng tôi không thể tìm thấy bất kỳ tài liệu nào về cấu hình như thế này.

Có vẻ như điều này có thể hoạt động bằng cách thêm một cổng NAT riêng trong một mạng con chuyên dụng.

Thiết lập này dường như hoạt động:

VPC MỘT: 10.1.0.0/16

Mạng con A1: 10.1.1.0/24. Mạng con chính chứa các nút trong A.
Mạng con A2: 10.1.2.0/24. Mạng con dành riêng cho cổng NAT.

VPC B: 10.2.0.0/16

Mạng con B1: 10.2.3.0/24: Mạng con chính chứa các nút trong B.

Cổng NAT riêng trong mạng con A2. (tự nhiên-1)
VPC ngang hàng giữa VPC A và B. (pcx-1)

Bảng lộ trình cho A1:

10.1.0.0/16 (A): cục bộ
10.2.3.0/24 (B1): nat-1

Bảng lộ trình cho A2:

10.1.0.0/16 (A): cục bộ
10.2.3.0/24 (B1): pcx-1

Bảng lộ trình cho B1:

10.2.0.0/16 (B): cục bộ
10.1.2.0/24 (A2): pcx-1

Vì không có tuyến đường trực tiếp giữa A1 và B1 nên tất cả lưu lượng phải đi qua cổng NAT.Và cổng NAT chỉ cho phép các kết nối đến từ cùng một VPC, vì vậy không có cách nào để một nút trong B1 mở kết nối tới một nút trong A1.

Các nhóm bảo mật và ACL mạng có thể được sử dụng làm các lớp bảo mật bổ sung ở đây và cấu hình sẽ khá đơn giản với sự phân chia này trong các mạng con. Nhưng nó cũng sẽ là dư thừa, vì không có tuyến đường nào từ B1 đến A1.