/tags/privatelink/ Recent content in privatelink on Hugo -- gohugo.io en Mon, 14 Sep 2026 06:17:25 +0800 /posts/vpc-gateway-vs-interface-endpoint/ Mon, 14 Sep 2026 06:17:25 +0800 /posts/vpc-gateway-vs-interface-endpoint/ 默认那条路：出 VPC 走 IGW 或 NAT 私有子网里的实例访问 AWS 服务，默认只有一条路：0.0.0.0/0 指向 NAT Gateway，出 VPC。AWS 的文档里，服务的默认 endpoint 是公网接口： The default service endpoints are public interfaces, so you must add an internet gateway to your VPC so that traffic can get from the VPC to the AWS service. 域名形态是 https://<service_code>.<region_code>.amazonaws.com，解析出来是公网 IP，于是公有子网这条路直接指向 IGW，私有子网中间要多一跳 NAT。这里有个词容易读错：包确实离开了你的 VPC，但并没有离开 AWS 的网络，IGW 这个名字里带 internet，它不等于出了 AWS 内网。按 GB 收的那笔钱出在 NAT 上，公有子网直连 IGW 没有这笔。 这笔的单价和计费口径在 NAT Gateway 那篇里按东京区算过：目的地在同一个可用区还是地球另一端单价一样，所以私有子网里拉一个 S3 大对象也要按 GB 付钱。安全这一侧，服务看到的仍是实例的公网出口地址，你能控制的只有出站规则。