基于 AWS T4g 与 sing-box 的全内网隔离方案

[stdout]

最近把 AWS 网络架构重构了，加了一台 t4g.nano 实例作为核心 Router ，用来管理所有服务器的进出网络。

核心玩法是直接把 sing-box 当成路由器来用，跑下来发现体验超级强大。

实现的功能： 统一进出： 所有服务器的进出网络流量、转发，全部由这台 t4g.nano 托管。

精细控制： 实现了域名过滤、IP 过滤、黑白名单以及端口转发。

安全架构： 整个服务的后端内网全部实现了彻底隔离。

总共进 5000 行 bash 脚本，一键启动实例并配置。极致轻量，t4g.nano 的性能配合 sing-box 绰绰有余，成本极低，功能远超实例安全组+gateway

云上有多台服务器需要做网络隔离和分流或者安全组规则不够的朋友，强烈推荐试试这个组合！

[YAFEIML]

不错，star 已送。

[YAFEIML]

@YAFEIML 串了，还是发错了。。。

[Akitora]

还有这种玩法，具体性能如何 OP 有测试过吗

[yinmin]

长时间运行的稳定性如何？ nano 实例是不是只做内网管理流量，不跑互联网对外业务？

[yinmin]

singbox 是用 fakeip 还是 realip 模式？ 有什么心得？

[stdout]

@yinmin 是 realip ， 用不上 fakeip ，我的问题是安全组规则不够用了，也不需要 sing box 接管 dns ，有很多私有 dns 记录。全部 codex 帮忙写的，心得就是再也不用去管安全组了。性能上下载跑满带宽没有问题，没有具体细测，等稳定运行个把月了，开源出来。
@Akitora 我的最大问题就是安全组规则不够用了。内网机器较多，必须完全隔离。

[cwxiaos]

singbox 的确强大，规则太灵活了，能实现很多操作

[owt5008137]

只是做流控？也不需要 dns ？不能直接 iptables 或者 nftables 吗。sing-box 和内核性能还是有数量级的差距的。所有的流量都过一个点不会成为瓶颈吗？

[stdout]

@owt5008137 没有几个用户，流量很小，问题不在性能，内网安全在第一位。比如有些域名太多 ip 了，且老变，用安全组完全没有办法处理。其次成本一个月 3 美金。nat gateway 都 20 美金一个月了