帶有 NAT 網關和 VPC PrivateLink 的 AWS 私有子網：將使用哪一個？

Question

假設我在私有子網中有一個 ec2，可以通過 NAT 網關訪問互聯網，並且我有適用於 DynamoDB 或 SNS 等 AWS 服務的VPC 端點 (PrivateLink) 。 如果我的 ec2 實例需要與這些服務交互，它將使用私有鏈接還是 NAT 網關？ 換句話說，公共互聯網上的流量是 go 還是留在 VPC 內？

Answer 1

換句話說，公共互聯網上的流量是 go 還是留在 VPC 內？

它將 go 到接口端點。 原因是當有多個選擇將流量引導至何處時，aws 會選擇更具體（最長前綴匹配）的路由。 因此，如果 VPC 必須在 NAT 和接口端點地址的0.0.0.0/0之間做出決定，則接口端點將被優先考慮。

您可以自己輕松檢查。 將接口端點放在您的私有子網中，該子網具有到 NAT 的路由。 然后使用其安全組將所有傳入接口端點的流量設為黑。 您應該看到的是，即使有 NAT 網關，您也無法訪問接口端點的服務。