构建能够解释并测试其访问行为的应用网络。使用 AWS CLI 配置资源，通过 AWS View 观察真实请求、来源地址、服务路由和被阻断的路径。
六个引导实验依次介绍地址规划、公网连接、安全组、私有出站访问、S3 网关端点和网络 ACL 诊断。独立挑战把缺失的私有服务路由与响应端口故障结合起来。先按顺序完成六个实验，再尝试挑战。
你将学到什么
- 规划 VPC 并使用合适的 CIDR 范围创建独立应用子网
- 通过互联网网关、路由表和公网地址连接公网应用
- 使用有状态安全组限制应用访问来源与端口
- 通过 NAT 网关提供私有出站访问，并阻止外部主动入站请求
- 通过网关端点读取 S3，诊断端点的路由表成员关系
- 修复无状态 ACL 返回端口并验证首次匹配规则优先级
- 跨越两个独立边界恢复私有存储访问，保留隔离并恢复预置基线
适合谁学习
适合云计算初学者和应用开发者，在设计更大的云系统前理解应用为什么能够或不能连接。
前置要求： 完成 Get Started with AWS on LabEx 和 AWS Foundations for Beginners 的 CLI、资源查询单元，再学习 AWS IAM for Beginners 的身份与权限基础。只需基本终端操作经验；网络概念会在首次使用附近解释。
学习环境： 每个单元都从独立、全新的 LabEx 浏览器 Linux 环境开始。使用 Terminal 和旁边的 AWS View。工具、连接和无关应用素材已准备，无需个人 AWS 账户或访问密钥。网络练习会保留用户连接实验环境所用的网络。
常见问题
命名为 public-subnet 就会让应用公开吗？
不会。要检查实际路由、互联网网关、公网地址和安全权限。本课程分别测试这些条件。
NAT 网关允许外部客户端主动连接吗？
它为私有应用提供出站连接与响应流量。你还会测试未经请求的入站访问仍被阻止。
S3 端点提供普通 Internet 访问吗？
不提供。托管服务路由作用于关联路由表中的 S3 目的地。普通 Internet 请求使用另一条独立路径。
为什么 ACL 规则必须考虑响应？
ACL 无状态，两个方向独立检查。响应以客户端端口为目的地。安全组会跟踪已允许的连接，但 ACL 仍是独立边界。
如何结束实验并清理？
先检查真实请求和认证后的完整清单。只删除自己创建的资源；对于预置资源，按文档恢复基线。最终检查通过后再删除临时 CLI 配置，无需提交截图。
这是完整认证或生产部署课程吗？
这是入门实践，不覆盖全部考试或完整生产架构。更广泛的设计、DNS、混合连接和运营主题留待后续课程。
