网络与安全面试：VPC、安全组、IAM、Direct Connect

在AWS高阶面试中，网络与安全是必考模块，考察候选人设计多账户隔离、混合云互联、最小权限策略的能力。本节聚焦VPC设计、安全组/NACL分层防护、IAM零信任模型三大核心场景。

问答卡片一：VPC设计与多账户架构

面试官考察点：
• 是否理解VPC对等连接、Transit Gateway、VPN的适用场景
• 能否平衡隔离粒度与运维复杂度
• 是否考虑跨账户VPC共享（通过RAM）

回答框架： 1. 按环境（dev/staging/prod）创建独立VPC，每个VPC至少2个AZ。2. 使用Transit Gateway实现中央路由枢纽，通过路由表隔离不同环境。3. 核心服务通过VPC端点（Gateway/Interface）私有访问。4. 跨账户资源通过AWS Resource Access Manager共享子网。

简短示例回答： 我们按环境创建独立VPC，通过Transit Gateway连接并管理路由表。生产VPC仅允许与共享服务VPC和监控VPC通信。数据库通过VPC端点私密访问S3/DynamoDB。多账户子网通过RAM共享给应用账号，避免VPC对等连接爆炸。

可能追问：
• Transit Gateway路由表如何设计防止路由泄露？
• VPC端点的可用性如何保障？
• Direct Connect如何集成到多VPC架构？

问答卡片二：安全组与网络ACL分层控制

面试官考察点：
• 是否理解状态检查与无状态检查的区别
• 能否设计防御纵深（SG做白名单，NACL做粗粒度黑名单）
• 是否知道SG支持引用其他SG简化规则

回答框架： 1. SG是有状态、实例级防火墙，只允许规则；NACL是无状态、子网级防火墙，允许/拒绝规则。2. 典型策略：SG做精确白名单（仅允许必要端口+源SG）；NACL做子网入口黑名单（如阻截恶意IP段）。3. 优先使用SG引用减少维护；NACL仅用于防护已知攻击源。

简短示例回答： 我们对Web层SG仅允许来自ALB SG的80/443；NACL在子网级别阻截某外部扫描IP段。SG由于有状态无需考虑返回流量，而NACL需显式添加入站和出站规则。注意SG默认拒绝所有入站，出站默认放行（应限制）。

可能追问：
• SG规则上限如何优化？
• SG引用其他SG时，跨账户如何实现？
• 如何用NACL临时封禁某个IP又不影响其他流量？

问答卡片三：IAM最小权限与边界策略

面试官考察点：
• 是否掌握IAM策略引擎、权限边界、服务控制策略（SCP）的关系
• 能否设计角色信任策略实现跨账户访问
• 是否熟悉IAM Access Analyzer发现未预期的权限

回答框架： 1. 通过SCP设置全组织禁止Root操作、限制区域。2. 每个账户创建“权限边界”模板，限制角色最大权限。3. 应用角色使用精确的资源级条件（如s3:prefix限制桶路径）。4. 跨账户角色信任策略指定源账户和条件键（如aws:SourceArn）。

简短示例回答： 我们通过SCP禁止除合规团队外的所有账户删除CloudTrail。为每个业务角色创建权限边界JSON，角色自身策略只能在边界内定义。跨账户访问数据湖时，数据账户角色信任策略要求源账户的IAM角色携带特定的RequestTag。

可能追问：
• 什么是PassRole权限？如何防范特权提升？
• IAM策略模拟器如何使用？
• 如何审计未使用的角色与权限？

公司侧重点（大厂倾向）

面试官画像

网络与安全方向的面试官通常是资深SRE或安全架构师，喜欢追问底层实现（如VPC路由表优先级、SG连接跟踪表溢出）。他们期待候选人不只背诵概念，还能画出拓扑图、阐述故障场景下的流量路径。同时关注你对安全左移的理解——如何在CI/CD中嵌入权限检查。

整体回答框架

简短示例（综合应用）

“基于业务增长需求，我们采用多VPC+Transit Gateway架构；安全方面，SG做白名单细粒度控制，NACL做子网级黑名单；IAM通过SCP+权限边界+角色信任实现最小权限。通过VPC Flow Logs + IAM Access Analyzer持续审计，并使用CloudFormation模板固化网络和安全基线。”

高频追问清单

• Direct Connect主备链路如何设计BGP负载均衡与故障切换？
• VPC端点策略与桶策略冲突时如何解析？
• 如何实现跨区域VPC互通并保证加密？（Transit Gateway + VPN or PrivateLink）
• IAM Role Session Tag如何实现基于属性的授权？
• 安全组连接追踪在容器场景下如何优化？

避坑提醒（汇总）