VPC Peering và VPC Endpoints trong AWS
Trong môi trường AWS, có nhiều tình huống bạn cần kết nối các mạng VPC với nhau hoặc truy cập dịch vụ AWS một cách bảo mật mà không đi qua Internet.
Hai dịch vụ quan trọng giải quyết vấn đề này là VPC Peering và VPC Endpoints.
Giới thiệu VPC Peering
VPC Peering là kết nối mạng point-to-poin giúp các tài nguyên bên trong VPC có thể giao tiếp với nhau bằng private IP mà không cần Internet Gateway, VPN hoặc Direct Connect.
Đặc điểm
- Traffic đi qua mạng nội bộ AWS (không qua internet).
- Có thể peering VPC giữa:
- Cùng một AWS account.
- Khác AWS account.
- Khác AWS Region (inter-region peering).
- Không hỗ trợ transitive routing (A ↔ B, B ↔ C thì A không tự động ↔ C).
- Không có tính bắc cầu Transitive Peering (A ↔ B, B ↔ C thì A không tự động ↔ C)
- Cần update lại Route Table để đảm bảo các EC2 instance có thể giao tiếp được với nhau
- Cần cấu hình Security Group và NACL phù hợp.
- Các VPC peering với nhau không được overlap CIDRs của nhau
Bài toán thực tế hay gặp
- Kết nối các VPC của các team hoặc dự án khác nhau.
- Kết nối VPC Production với VPC Dev/Test để share dữ liệu.
VPC Endpoints là gì
VPC Endpoint cho phép kết nối riêng tư từ VPC tới các dịch vụ AWS (hoặc dịch vụ PrivateLink) mà không cần đi qua internet.
Loại VPC Endpoint
- Interface Endpoint (Powered by PrivateLink)
- Sử dụng ENI (Elastic Network Interface) với private IP.
- Hỗ trợ nhiều dịch vụ AWS (S3, DynamoDB, API Gateway, SNS, SQS, v.v.).
- Gateway Endpoint
- Chỉ hỗ trợ S3 và DynamoDB.
- Được khai báo trong Route Table.
| Tiêu chí | Interface Endpoint | Gateway Endpoint |
|---|---|---|
| Hỗ trợ dịch vụ | Nhiều dịch vụ AWS & PrivateLink | Chỉ S3 và DynamoDB |
| Cách triển khai | Tạo ENI | Cập nhật route table |
| Chi phí | Trả phí theo giờ + dữ liệu | FREE |
| Tích hợp PrivateLink | Có | Không |
- Dùng Gateway Endpoint cho S3/DynamoDB để tiết kiệm chi phí và tối ưu hiệu suất.
VPC PrivateLink là gì
Chúng ta đã đề cập đến PrivateLink trước đó, vậy PrivateLink là gì? Hãy cùng tìm hiểu nhé!
AWS PrivateLink công nghệ cho phép tạo “private connectivity” giữa VPC tới các AWS services mà không cần đi qua Internet. Đây chính là công nghệ phía dưới của VPC Endpoint.
Phía sau công nghệ này là 2 thành phần quan trong là Network Load Balancer và Elastic Network Interface