同一亚马逊AWS WorkSpaces账号下的多实例是否共用同一网络？

同账号下两台WorkSpaces实例是否共享同一网络？ #

• 没有固定结论，完全取决于你创建实例时的网络配置：
  • 若两台实例创建时选择了同一个VPC、同一个子网，且安全组未配置内网隔离规则，二者默认处于同一三层网络域，内网可直接互通，属于共享同一网络环境
  • 若两台实例创建时选择了相互独立、未打通的VPC，二者默认网络完全隔离，不存在共享关系

两台实例之间是否存在其他关联？ #

• 常见关联可以从三个维度排查：
  • 账号维度：所有实例的计费账单、IAM权限管控都归属同一个AWS账号，资源统一归入该账号的资源池管理
  • 目录维度：如果两台实例绑定了同一个Active Directory服务（包括AWS托管AD、Simple AD、自建AD连接器），则二者同属一个用户体系，若开启了用户配置文件漫游，同一个用户的登录设置、个人文件会在两台实例间同步
  • 网络维度：如果配置了同VPC、同安全组，默认内网互通，属于网络层面的关联

要实现各实例网络完全独立，是否需要每台单独部署VPN？ #

• 不需要强制部署VPN，可以根据你的隔离需求优先选择AWS原生方案：
  • 仅需AWS内网环境隔离：将不同实例部署在完全独立的VPC中，VPC之间不配置对等连接、中转网关等任何打通规则，同时给每个实例绑定独立的安全组，入站规则仅开放你的访问IP，禁止所有其他内网地址的访问请求
  • 需要公网出口IP完全独立：给每个VPC配置独立的NAT网关和弹性IP，确保不同实例的公网访问出口IP互不重合
  • 若你需要公网访问行为完全不关联AWS账号属性：这种场景下才需要给每台实例单独部署独立的VPN服务，配置路由规则让所有公网流量优先走VPN隧道传输，同时关闭VPC默认的公网路由，避免流量泄漏到AWS原生公网出口

内容的提问来源于stack exchange，提问作者Hooksta93