API Gateway与Interface Endpoint区别解析及VPC场景问题解答

一、API Gateway是否始终在公有VPC中？ #

不是。API Gateway有三种部署类型：

• 公有型：默认部署在AWS公有基础设施，可通过互联网访问。
• 私有型：关联到用户的VPC内部，仅允许VPC内资源或通过VPN/Direct Connect连接的资源访问，完全不暴露到公网。
• 区域型：部署在指定AWS区域，可按需配置为公有或私有访问。

所以私有API Gateway完全运行在用户VPC范围内，并非始终处于公有VPC。

二、VPC环境下核心概念区别 #

1. 私有API Gateway #

• 是AWS提供的API全生命周期托管服务，负责API的创建、发布、路由、鉴权、限流、监控等。
• 私有类型的API Gateway会在用户VPC内创建ENI（弹性网络接口），但默认情况下，VPC内资源调用该API时，可能仍会走公网路由（除非配置了私有访问路径）。

2. Interface Endpoint（接口端点） #

• 属于AWS VPC Endpoint的一种，是VPC内的私有网络入口，通过ENI直接对接AWS服务（包括私有API Gateway）。
• 给VPC内资源提供直接访问AWS服务的私有路径，流量完全在AWS私有骨干网络内传输，彻底绕开公网。
• 无需修改业务代码，仅需配置VPC端点和路由，就能让VPC内资源通过私有IP访问目标AWS服务。

3. Gateway Endpoint（网关端点） #

• 同样是VPC Endpoint的类型，但仅支持S3和DynamoDB两个特定服务。
• 通过VPC路由表配置引导流量，不需要创建ENI，无法用于API Gateway这类服务。

三、考题场景解析 #

场景说明 #

公司在同一VPC中运行私有API Gateway，包含BuyStock和CheckFunds两个REST API。BuyStock调用CheckFunds时，流量走了公网而非VPC内部，要求在代码改动最小的前提下解决问题。

选项分析 #

• A. 添加X-API-Key头授权：仅解决API鉴权问题，完全不涉及流量路径的调整，无法让流量走VPC内部，排除。
• B. 使用Interface Endpoint：在VPC内创建指向私有API Gateway的接口端点，BuyStock服务通过该端点的私有IP调用CheckFunds API，全程流量在VPC内部传输。无需修改API代码，仅需配置VPC端点和路由，符合“代码改动最小”的要求，正确。
• C. 使用Gateway Endpoint：仅支持S3和DynamoDB，无法对接API Gateway，排除。
• D. 添加SQS队列：将同步调用改为异步消息模式，改变了原有业务逻辑，代码改动大，且未解决公网流量问题，排除。

内容的提问来源于stack exchange，提问作者deechean wang