为何跨隔离子网的EC2可访问S3 VPC接口端点？

背景环境 #

• VPC（已启用DNS解析与DNS主机名）
  • subnet1
    • ec2-1
  • subnet2
    • ec2-2
    • S3 VPC接口端点（已启用端点私有DNS名称）

关键前提 #

• subnet1与subnet2网络隔离，ec2-1和ec2-2无法直接通信
• ec2-1与ec2-2解析S3的私有DNS主机名结果一致，均指向subnet2中S3 VPCE的ENI IP

核心疑问 #

实际测试中，ec2-1和ec2-2执行aws s3 ls均能正常运行，但按常规网络规则，处于隔离子网的ec2-1本应无法访问subnet2内的ENI。为何S3 VPCE的ENI能突破子网隔离限制？是否存在AWS层面的特殊流量拦截与路由机制？

官方机制解释 #

1. 私有DNS与底层流量拦截 #

当VPC启用DNS解析且S3 VPCE开启私有DNS名称后，AWS会自动在VPC私有DNS区域注入S3服务域名（如s3.amazonaws.com）的解析记录，指向VPCE的ENI IP。同时，AWS在VPC网络栈底层拦截所有发往S3公共端点的流量，强制将其路由至对应的VPCE ENI——这一机制不受子网路由表或常规安全组规则限制，只要VPCE的权限策略允许该EC2实例访问即可生效。

2. 私有链路架构的原生跨子网可达性 #

S3 VPCE属于AWS私有链路（PrivateLink）架构的一部分，其ENI并非普通弹性网络接口。私有链路的核心设计目标就是让VPC内任意子网的资源，无需配置跨子网路由或打通安全组，即可访问VPCE对接的服务。这种跨子网可达性是AWS底层网络架构原生支持的，VPCE ENI对所在VPC内的所有子网资源默认可见。

3. 与常规ENI的本质差异 #

常规ENI的访问受子网路由表、安全组、网络ACL的严格约束，跨子网访问必须依赖明确的路由配置。但S3 VPCE的ENI作为私有链路的接入点，其流量路径完全由AWS私有骨干网络处理，绕过了VPC内的常规子网路由逻辑。EC2发起的S3请求会被AWS直接导向VPCE ENI，无需经过子网间的路由转发，因此即使子网处于隔离状态，也能正常通信。

内容的提问来源于stack exchange，提问作者EL96NG8C NG