如果 AWS Fargate 任務在啟用 VPC 終端節點和 NAT 網關的私有 su.net 中預配置，會發生什么情況？

Question

首先，我在 VPC 的私有 su.net 中執行 Fargate 任務，並啟用 NAT 網關與 ECR 連接，以通過 inte.net 拉取圖像和其他本地服務器。 它工作得很好。 后來我為 ECR（api 和 dkr）、S3、Secrets、日志和刪除 NAT 網關設置了 VPC 端點，它正在與 AWS 服務通信，但在與本地服務器通信時出現問題。 因此，我啟用了 NAT 網關，然后我的應用程序似乎可以與本地服務器完美配合。 但我仍然不清楚的是，與 AWS 服務（ECR、S3、Secrets 和 CloudWatch）的通信是通過 inte.net 還是 private.network 與 VPC 端點進行的？ 請建議我如何調試通信。

提前謝謝大家的建議~

我遵循使用具有 inte.net 訪問權限的私有 su.net 並且我可以 ssh 進入任務而無需啟用 VPC 端點和 NAT 網關。 當我嘗試使用VPC 端點方法時，我無法使用 ssh，因為通信是通過專用鏈接進行的。 我仍然無法使用 VPC 端點方法和啟用 NAT 網關的 ssh。

--我想我應該能夠 ssh 因為現在啟用了 NAT 網關。-

Answer 1

您正在創建的 VPC 端點特別是“接口端點”。 當您創建一個接口端點時，AWS 將向您指定的 su.net 添加一個彈性網絡接口 (ENI)，並在您的 su.net 地址空間中為其分配一個私有地址 IP。 通常，您還會告訴 AWS 為該 ENI 添加一個 DNS 條目，該條目根據該 IP（公共 IP 的插圖）解析服務的域名。 您可以禁用它，但這有點違背了目的。

這實際上意味着無論何時您嘗試解析該服務的主機名，它都應該解析為您的 ENI 的 IP 地址，因此通過私有鏈接解析為 go。 但是，請務必注意，您需要為 ENI 所在的區域配置 CLI/SDK。否則，它可能會使用通用的 DNS 條目（可能具體指向 us-east-1）。 這將很好地解決（感謝您的 NAT 網關），但如果您在另一個區域運行，您的流量可能會意外地通過 inte.net 路由。

所有這些都獨立於 SSH。請記住，VPC 接口端點僅用於創建可用於路由到 AWS 服務的私有 IP 地址。 如果您嘗試 SSH 進入 Fargate 任務，則該任務只需要是可路由的。 在這種特殊情況下，您的 Fargate 任務在您的 VPC 中運行，並且顯然可以直接路由。 訪問它們不需要 NAT 網關或接口端點。