在EC2 VPC的NAT实例上，如何将从私有子网stream量的白名单列入S3？

我正在研究适用于AWS VPC的隐私兼容的高安全部署选项。

我正在寻找在NAT实例中从私有子网收紧出站stream量的方法。 例如，如何限制NAT后面的出站stream量，只允许调用AWS S3？ 我正在计划使用由Ansible和Packer驱动的Shorewall创build自定义NAT AMI。

看来没有一个固定的S3 IP地址列表，所以按IP列出白名单。 根据协议白名单是不够的， 至less应将端点限制在AWS的API空间中。 主机名白名单肯定不会超出第一个DNS查询的第一个IP。

选项似乎是：

• 高性能AWS EC2 / RDS + Nginx + PHP-FPM设置
• 如何使用预先configuration的AWS报警启动EC2实例
• 需要EC2 AMI实例存储备份grub实用程序
• 亚马逊AWS EC2图像自己closures
• 大多数带宽有效的video共享设置

1. 尝试拼凑一个IP列表。
2. 向AWS请求一个列表。
3. 也许我可以使用HAProxy或类似的做一个反向代理到S3，完全跳过传统的NAT。 假设私有子网内唯一需要的出站stream量是基于HTTP（S）的，那么这可能会起作用，并且可以限制S3主机名称？ 比如软件包更新和NTP，可以使用位于公有子网中的临时点（实例）完成。

请让我知道如果你想进一步澄清我的需求。

你知道如何只允许来自EC2 VPC私有子网内部的S3（和依赖项）stream量吗？

谢谢你，约书亚

PS噢，如果它可以高度可用，那也会很好。 我正在计划在一个地区的三个地区的每一个“NAT”或“类似NAT”的实例。 我打算使用Autoscaling小组来保持这三个实例的存在，但也许你有另一个想法。 最初，我打算使用三个ENI，每个AZ一个，通过Corosync＆Pacemaker为NAT漂浮。 我希望避免需要通过路由到ENI来防止在NAT中发生NAT故障时的路由表。

/ endblabbing

相关链接：

http://www.shorewall.net/4.2/FAQ.htm#faq39 没有NAT的EC2 VPC？

aws ec2 describe-prefix-lists 

 { "PrefixLists": [ { "PrefixListName": "com.amazonaws.eu-west-1.s3", "Cidrs": [ "54.231.128.0/19" ], "PrefixListId": "pl-6da54004" } ] }