本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 配置具有私有子网和 NAT 网关的 VPC
如果您计划 WorkSpaces 在 WorkSpaces 池中为自己的 Internet 提供访问权限，我们建议您在一个 VPC 中配置两个私有子网，在公有子网中配置一个 NAT 网关。 WorkSpaces 您可以创建和配置新 VPC 来结合使用 NAT 网关，或将 NAT 网关添加到现有 VPC。有关其他 VPC 配置建议，请参阅 [WorkSpaces 池的 VPC 设置建议](vpc-setup-recommendations.md)。
NAT 网关允许私有子网 WorkSpaces 中的连接到互联网或其他 AWS 服务，但会阻止互联网与这些 WorkSpaces服务建立连接。此外，与使用**默认互联网访问**选项为其启用互联网访问的配置不同 WorkSpaces，此配置不限于 100 WorkSpaces。
有关使用 NAT 网关和此配置的信息，请参阅《Amazon VPC 用户指南》**中的 [NAT 网关](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html)和[具有公有和私有子网（NAT）的 VPC](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Scenario2.html)。
**Topics**
+ [创建和配置新 VPC](create-configure-new-vpc-with-private-public-subnets-nat.md)
+ [向现有 VPC 添加 NAT 网关](add-nat-gateway-existing-vpc.md)
+ [为 WorkSpaces 池启用互联网接入](managing-network-manual-enable-internet-access.md)
# 创建和配置新 VPC
本主题介绍如何使用 VPC 向导创建具有一个公有子网和一个私有子网的 VPC。作为此过程的一部分，向导将创建 Internet 网关和 NAT 网关。它还会创建与公有子网关联的自定义路由表，并更新与私有子网关联的主路由表。NAT 网关是在您的 VPC 的公有子网中自动创建的。
使用向导创建初始 VPC 配置后，您将添加第二个私有子网。有关更多信息，请参阅《Amazon VPC 用户指南》**中的[具有公有和私有子网（NAT）的 VPC](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Scenario2.html)。
**注意**
如果您已有 VPC，请改为完成[向现有 VPC 添加 NAT 网关](add-nat-gateway-existing-vpc.md)中的步骤。
**Topics**
+ [步骤 1：分配弹性 IP 地址](#allocate-elastic-ip)
+ [步骤 2：创建新 VPC](#vpc-with-private-and-public-subnets-nat)
+ [步骤 3：添加第二个私有子网](#vpc-with-private-and-public-subnets-add-private-subnet-nat)
+ [步骤 4：验证并命名子网路由表](#verify-name-route-tables)
## 步骤 1：分配弹性 IP 地址
在创建 VPC 之前，您必须在您所在的 WorkSpaces 地区分配一个弹性 IP 地址。您必须先分配用于 VPC 的弹性 IP 地址，然后将其与 NAT 网关关联。有关更多信息，请参阅《Amazon VPC 用户指南》**中的[弹性 IP 地址](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-eips.html)。
**注意**
使用弹性 IP 地址可能会产生费用。有关更多信息，请参阅 Amazon EC2 定价页面上的[弹性 IP 地址](https://docs.aws.amazon.com/ec2/pricing/on-demand/#Elastic_IP_Addresses)。
如果您还没有弹性 IP 地址，请完成以下步骤。如果需要使用现有的弹性 IP 地址，请确保它当前不与其他实例或网络接口关联。
**分配弹性 IP 地址**
1. 打开位于 [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/) 的 Amazon EC2 控制台。
1. 在导航窗格中的 “**网络与安全**” 下，选择 **Elastic IPs**。
1. 选择 **Allocate New Address (分配新地址)**，然后选择 **Allocate (分配)**。
1. 记录弹性 IP 地址。
1. 在**弹性 IPs**窗格的右上角，单击 X 图标关闭窗格。
## 步骤 2：创建新 VPC
完成以下步骤，创建具有一个公有子网和一个私有子网的新 VPC。
**创建新的 VPC**
1. 打开位于 [https://console.aws.amazon.com/vpc/](https://docs.aws.amazon.com/vpc/) 的 Amazon VPC 控制台。
1. 在导航窗格中，选择 **VPC Dashboard (VPC 控制面板)**。
1. 选择 **Launch VPC Wizard (启动 VPC 向导)**。
1. 在 **Step 1: Select a VPC Configuration (步骤 1：选择 VPC 配置)** 中，选择 **VPC with Public and Private Subnets (带有公有子网和私有子网的 VPC)**，然后选择 **Select (选择)**。
1. 在 **Step 2: VPC with Public and Private Subnets (步骤 2：具有公有子网和私有子网的 VPC)** 中，如下所示配置 VPC：
+ 对于 **IPv4 CIDR 块**，请为 VPC 指定一个 IPv4 CIDR 块。
+ 对于 **IPv6 CIDR 块**，请保留默认值 “**无 IPv6 CIDR** 块”。
+ 对于 **VPC name (VPC 名称)**，请键入一个唯一的 VPC 名称。
1. 按照如下所示配置公有子网：
+ 对于**公有子网的 IPv4 CIDR**，请为该子网指定 CIDR 块。
+ 对于 **Availability Zone (可用区)**，保留默认值 **No Preference (无首选项)**。
+ 对于 **Public subnet name (公有子网名称)**，键入子网的名称（例如，`WorkSpaces Public Subnet`）。
1. 按照如下所示配置第一个私有子网：
+ 对于**私有子网的 IPv4 CIDR**，请为该子网指定 CIDR 块。记下您指定的值。
+ 对于 **Availability Zone (可用区)**，选择特定区并记下您的选择。
+ 对于 **Private subnet name (私有子网名称)**，键入子网的名称（例如，`WorkSpaces Private Subnet1`）。
+ 对于其余字段，在适用时保留默认值。
1. 对于 **Elastic IP Allocation ID (弹性 IP 分配 ID)**，单击文本框并选择与您创建的弹性 IP 地址相对应的值。此地址分配给 NAT 网关。如果您没有弹性 IP 地址，请使用位于的 Amazon VPC 控制台创建一个弹性 IP 地址[https://console.aws.amazon.com/vpc/](https://docs.aws.amazon.com/vpc/)。
1. 对于**服务端点**，如果您的环境需要 Amazon S3 端点，请指定一个。对于您私有网络中的用户，如果需要访问[主文件夹](persistent-storage.md#home-folders)或者启用[程序设置持久性](app-settings-persistence.md)，则需要 S3 端点。
要指定 Amazon S3 端点，请执行以下操作：
1. 选择 **Add Endpoint (添加端点)**。
1. 对于**服务**，在列表中选择以 “s3” 结尾的条目（该`com.amazonaws.`*region*`.s3`条目对应于创建 VPC 的区域）。
1. 对于 **Subnet (子网)**，选择 **Private subnet (私有子网)**。
1. 对于 **Policy (策略)**，保留默认值 **Full Access (完全访问)**。
1. 对于 **Enable DNS hostnames (启用 DNS 主机名)**，保留默认值 **Yes (是)**。
1. 对于 **Hardware tenancy (硬件租赁)**，保留默认值 **Default (默认值)**。
1. 选择**创建 VPC**。
1. 请注意，设置您的 VPC 可能需要几分钟。创建了 VPC 后，选择 **OK**。
## 步骤 3：添加第二个私有子网
在上一步（[步骤 2：创建新 VPC](#vpc-with-private-and-public-subnets-nat)）中，您创建了具有一个公有子网和一个私有子网的 VPC。执行以下步骤以添加第二个私有子网。我们建议您在与第一个私有子网不同的可用区中添加第二个私有子网。
1. 在导航窗格中，选择 **Subnets**(子网)。
1. 选择您在上一步骤中创建的第一个私有子网。在 **Description (描述)** 选项卡上的子网列表下方，记录此子网的可用区。
1. 在子网窗格的左上角，选择 **Create Subnet (创建子网)**。
1. 对于 **Name tag (名称标签)**，键入私有子网的名称（例如，`WorkSpaces Private Subnet2`）。
1. 对于 **VPC**，选择上一步骤中已创建的 VPC。
1. 对于 **Availability Zone (可用区)**，请选择一个可用区，而不是您用于第一个私有子网的可用区。选择不同的可用区可提高容错能力，并有助于防止容量不足错误。
1. 对于 **IPv4 CIDR 块**，请为新子网指定唯一的 CIDR 块范围。例如，如果您的第一个私有子网的 IPv4 CIDR 块范围为`10.0.1.0/24`，则可以`10.0.2.0/24`为新的私有子网指定 CIDR 块范围为。
1. 选择**创建**。
1. 创建子网后，选择 **Close (关闭)**。
## 步骤 4：验证并命名子网路由表
在您创建并配置 VPC 后，请完成以下步骤来为路由表指定名称，并验证：
+ 与 NAT 网关所在子网关联的路由表包含使 Internet 流量指向 Internet 网关的路由。这可确保您的 NAT 网关可以访问 Internet。
+ 与私有子网关联的路由表配置为将 Internet 流量指向 NAT 网关。这使您的私有子网中的流实例可以与 Internet 通信。
1. 在导航窗格中，选择 **Subnets (子网)**，然后选择您创建的公有子网（例如 `WorkSpaces Public Subnet`）。
1. 在 **Route Table (路由表)** 选项卡上，选择路由表的 ID（例如，`rtb-12345678`）。
1. 选择路由表。在 **Name (名称)** 中，选择编辑图标（铅笔），键入一个名称（例如 `workspaces-public-routetable`），然后选择复选标记以保存该名称。
1. 选中公有路由表的同时，在 **Routes (路由)** 选项卡上，确认有一个路由用于发送本地流量，另一个路由用于向 VPC 的 Internet 网关发送所有其他流量。下表对这两种路由进行了说明：
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/workspaces/latest/adminguide/create-configure-new-vpc-with-private-public-subnets-nat.html)
1. 在导航窗格中，选择 **Subnets (子网)**，然后选择您创建的第一个私有子网（例如 `WorkSpaces Private Subnet1`）。
1. 在**路由表**选项卡上，选择路由表的 ID。
1. 选择 路由表。在 **Name (名称)** 中，选择编辑图标（铅笔），输入一个名称（例如 `workspaces-private-routetable`），然后选择复选标记以保存该名称。
1. 在 **Routes (路由)** 选项卡上，验证路由表包含以下路由：
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/workspaces/latest/adminguide/create-configure-new-vpc-with-private-public-subnets-nat.html)
1. 在导航窗格中，选择 **Subnets (子网)**，然后选择您创建的第二个私有子网（例如 `WorkSpaces Private Subnet2`）。
1. 在 **Route Table (路由表)** 选项卡上，验证路由表是否为私有路由表（例如，`workspaces-private-routetable`）。如果路由表不同，请选择**编辑**，然后选择此路由表。
**后续步骤**
要使您的 WorkSpaces in P WorkSpaces ools 能够访问互联网，请完成中的步骤[为 WorkSpaces 池启用互联网接入](managing-network-manual-enable-internet-access.md)。
# 向现有 VPC 添加 NAT 网关
如果您已配置 VPC，请完成以下步骤，将 NAT 网关添加到 VPC。如果您需要创建新 VPC，请参阅[创建和配置新 VPC](create-configure-new-vpc-with-private-public-subnets-nat.md)。
**向现有 VPC 添加 NAT 网关**
1. 要创建 NAT 网关，请完成《Amazon VPC 用户指南》**中的[创建 NAT 网关](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html#nat-gateway-creating)中的步骤。
1. 验证您的 VPC 至少有一个私有子网。建议您指定不同的可用区中的两个私有子网以实现高可用性和容错能力。有关如何创建第二个私有子网的信息，请参阅[步骤 3：添加第二个私有子网](create-configure-new-vpc-with-private-public-subnets-nat.md#vpc-with-private-and-public-subnets-add-private-subnet-nat)。
1. 更新与您的一个或多个私有子网关联的路由表，以将面向 Internet 的流量指向该 NAT 网关。这使您的私有子网中的流实例可以与 Internet 通信。为此，请完成《Amazon VPC 用户指南》**中的[更新您的路由表](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html#nat-gateway-create-route)中的步骤。
**后续步骤**
要使您的 WorkSpaces in P WorkSpaces ools 能够访问互联网，请完成中的步骤[为 WorkSpaces 池启用互联网接入](managing-network-manual-enable-internet-access.md)。
# 为 WorkSpaces 池启用互联网接入
在您的 NAT 网关在 VPC 上可用后，您可以为 WorkSpaces 池启用互联网接入。在[创建 WorkSpaces 池目录](https://docs.aws.amazon.com/workspaces/latest/adminguide/create-directory-pools.html)时，可以启用互联网接入。创建目录时，选择带有 NAT 网关的 VPC。然后，为**子网 1** 选择一个私有子网，以及（可选）为**子网 2** 选择另一个私有子网。如果您的 VPC 中还没有私有子网，则可能需要创建第二个私有子网。
您可以通过启动 WorkSpaces 池来测试您的互联网连接，然后连接到池 WorkSpace 中并浏览互联网。