Разрешить доступ в Интернет для экземпляров ec2 с частными IP-адресами внутри общедоступной подсети?

У меня есть общедоступная подсеть (S1) с маршрутом, указывающим на интернет-шлюз в его таблице маршрутов.
Запустил экземпляр ec2 (I1) внутри S1, но не назначил ему общедоступный IP-адрес, поэтому экземпляр имеет только частный IP-адрес и не может быть доступен из Интернета.
У меня настроена маршрутизация на основе пути от моего шлюза до экземпляра (I1), которая работает нормально, то есть запросы к шлюзу обслуживаются без помех.
Проблема в том, что мне нужно получить доступ к некоторому ресурсу в Интернете из моего экземпляра I1, но экземпляр не должен быть доступен извне.

Я ошибаюсь, полагая, что экземпляр может связываться с Интернетом через шлюз (точно так же, как мобильный телефон с частным IP-адресом внутри сети Wi-Fi общается с Интернетом через общедоступный IP-адрес точки доступа) ?!

Просто хотел знать, можно ли добиться этого без назначения общедоступного IP / эластичного IP-адреса моему экземпляру, потому что вам также нужен доступ в Интернет для установки любого программного обеспечения, как люди будут реализовывать это требование ?!

ПРИМЕЧАНИЕ: для частных подсетей шлюз NAT работает нормально, но это общедоступная подсеть, если вы укажете ее на шлюз NAT, вам необходимо удалить маршрут, указывающий на интернет-шлюз, что означает, что мой шлюз не сможет взаимодействовать с моим экземпляром ( Потому что ALB / Gateway связывается только с экземплярами в публичной подсети в AWS ?!)

P.S .: Новичок в aws, пожалуйста, не злоупотребляйте пробелами в знаниях, заранее спасибо.

--Яш

Вы неправильно понимаете / неправильно используете общедоступные и частные подсети.

Общедоступная подсеть имеет интернет-шлюз (IGW). Экземплярам в общедоступной подсети нужны общедоступные IP-адреса для доступа в Интернет.

В частной подсети есть шлюз NAT или экземпляр NAT. Экземпляры в частной подсети не имеют общедоступных IP-адресов.

В итоге: если подсеть имеет IGW, это общедоступная подсеть. Если подсеть имеет NAT, это частная подсеть.

Решение вашей проблемы:

Создайте новую подсеть.
Создайте шлюз NAT. Назначьте шлюз NAT для подсети.
Создайте AMI для каждого из ваших экземпляров, которые вам нужно переместить в частную подсеть, а затем выключите эти экземпляры. Позже вы можете прекратить их, но подождите, пока не узнаете, что следующие шаги выполнены правильно.
Запустите новые экземпляры EC2 из каждого AMI, созданного на шаге № 3.
Убедитесь, что все работает. Затем завершите старые экземпляры. Ваши AMI также служат в качестве резервных копий для этих экземпляров.

Что помогает с вашим требованием:

«Вы можете использовать общедоступные IP-адреса в своем экземпляре, а затем заблокировать их с помощью групп безопасности. Риск зависит от того, какой тип доступа разрешен и откуда».