AWS VPC Private Link 和 VPC Peering 之间有什么区别？

Question

VPC 对等互连是否安全？VPC 对等互连和私有链接是否都不使用 Internet 网关或任何其他网关？参考：- https://docs.amazonaws.cn/en_us/vpc/latest/userguide/vpc-peering.html

Answer 1

VPC 对等互连允许两个 VPC 之间的连接。这就像网段之间的正常路由。

VPC PrivateLink允许您发布一个“端点”，其他人可以从他们自己的 VPC 连接到该端点。它类似于普通的VPC Endpoint，但人们可以连接到您的终端节点，而不是连接到 AWS 服务。可以将其视为一种无需通过 Internet 即可发布私有 API 端点的方式。

在这两种情况下，都没有流量通过 Internet。连接直接在 VPC 之间进行。

Answer 2

VPC 对等vsPrivateLink

这两个是分开开发的，但最近发现它们相互交织。

• VPC 对等互连 - 适用于 VPC

• PrivateLink - 适用于应用程序/服务

通过VPC 对等互连，您可以将您的 VPC 连接到另一个 VPC。两个 VPC 所有者都参与建立此连接。当一个 VPC（访问者）想要访问另一个（被访问者）上的资源时，连接不需要通过互联网。

PrivateLink提供了一种通过名称连接到应用程序/服务的便捷方式，并增加了安全性。您将 VPC 中的应用程序/服务配置为 AWS PrivateLink 支持的服务（称为终端节点服务）。AWS 为服务生成特定的 DNS 主机名。在您授予其他 AWS 委托人权限后，他们可以创建与您的终端节点服务的连接。

VPC 对等 + PrivateLink

自 2019 年 3 月 7 日起，VPC 中的应用程序现在可以跨 VPC 对等连接安全地访问 AWS PrivateLink 终端节点。现在可以跨区域内和区域间 VPC 对等连接访问 AWS PrivateLink 终端节点。更多关于这个

VPC 对等连接注意事项

VPC 对等允许 VPC 资源（包括……）使用私有 IP 地址相互通信，而无需网关、VPN 连接或单独的网络设备。...流量始终停留在全球 AWS 主干上，从不穿越公共互联网

区域间 VPC 对等互连提供了一种简单且经济高效的方式来在区域之间共享资源或复制数据以实现地理冗余。

AWS - 什么是 VPC 对等互连

端点服务注意事项

当您创建VPC 终端节点服务时，AWS 会生成特定于终端节点的 DNS 主机名，您可以使用它们与该服务进行通信。这些名称包括 VPC 终端节点 ID、可用区名称和区域名称，例如，vpce-1234-abcdev-us-east-1.vpce-svc-123345.us-east-1.vpce.amazonaws.com。默认情况下，您的消费者使用该 DNS 名称访问服务

创建端点时，您可以将端点策略附加到它，以控制对相关服务的访问

终端节点策略不会覆盖或替换 IAM 用户策略或特定于服务的策略（例如 S3 存储桶策略）。它是一个单独的策略，用于控制从端点到指定服务的访问。

• AWS 端点访问
• AWS VPC 终端节点访问

Answer 3

让我们通过一个真实的用例来理解这一点

1. 假设您有自己的 VPC（由您使用自己的 AWS 账户创建），其中有几个 EC2 实例想要与在您客户的 VPC 中运行的实例进行通信 - 显然这个 VPC 是由您的客户使用他/她的 AWS 账户创建的 -使用 VPC Peering 来实现这个通信需求

2. 现在考虑您拥有自己的 VPC（由您使用您自己的 AWS 账户创建），其中运行着 EC2 实例，并使用您在 S3 中上传一些文件的相同 AWS 账户。并且您的 EC2 实例现在想要读取 S3 中文件的内容。

在这种情况下，您将配置 VPC 终端节点 - 它使用 PrivateLink 技术 - AWS PrivateLink 允许您以高度可用和可扩展的方式私下访问托管在 AWS 网络上的服务，而无需使用公共 IP，也不需要流量穿越互联网。

希望这可以帮助！