为何配置全量出站规则的AWS安全组无Internet Gateway无法访问公网

安全组和Internet Gateway（IGW）是AWS网络架构里两个完全不同的角色，搞清楚它们的分工就能明白问题所在：

• 安全组是防火墙规则，只负责「允许/拒绝流量」
  你配置的出站规则0.0.0.0/0「所有流量」，只是允许实例发起对外的流量请求，但它不解决流量该往哪里发的问题。打个比方：安全组相当于给你开了出门的权限，但你家门口根本没路通往外面，你还是出不去。

• 访问公网需要路由表+IGW配合完成「流量转发」
  VPC默认的路由表只有内网路由（比如指向VPC内子网、对等连接等的路由），没有通往公网的路由条目。要让实例的流量到达公网，必须在实例所属子网关联的路由表里添加一条路由：

  • 目标地址：0.0.0.0/0（代表所有公网地址）
  • 下一跳：你的Internet Gateway

• IGW是VPC和公网之间的「桥梁」
  IGW是AWS提供的专门用于连接VPC与公网的网关设备，它负责把VPC内实例发出的公网流量转发到Internet，同时接收公网的响应流量并转发回实例。没有IGW的话，实例的出站流量到了VPC的网络边界就会被直接丢弃，因为没有设备能完成跨VPC到公网的转发动作。

简单说：安全组给了你出门的许可，而IGW+路由表是你出门必须走的那条路，缺了任何一个都没法到达公网。

内容的提问来源于stack exchange，提问作者Mu'men Tayyem