S3网关端点为何免费？两类端点的安全与性能疑问

1. 经Internet Gateway的流量不离开AWS网络是否有安全优势？ #

没有明显安全优势，反而不如使用VPC端点安全：

• 走IGW的话，EC2必须配置公网IP，安全组需要允许出站到公网范围，S3桶策略也得允许对应公网IP或公网来源访问，相当于把访问路径暴露在公网路由层面，存在被第三方扫描、拦截的潜在风险（哪怕流量没离开AWS网络，公网路由的可见性更高）。
• 而用VPC端点（网关或接口）的话，流量完全在VPC内部私有路由，EC2不需要公网IP，安全组可以严格限制仅VPC内部流量，桶策略也能限定只允许来自该VPC端点的请求，彻底规避公网暴露的风险。

2. S3网关端点免费的原因，以及和接口端点的性能、架构差异？ #

• 收费差异原因：S3网关端点是VPC原生的路由扩展，本质是通过修改VPC路由表，将目标为S3前缀的流量直接路由到AWS S3的专用网络入口，不需要额外的网络代理资源；而S3接口端点基于PrivateLink，会在你的子网中创建弹性网络接口（ENI），依赖Hyperplane代理层转发流量，这部分有AWS的资源投入，所以需要收费。
• Hyperplane使用情况：网关端点确实不使用Hyperplane，它是直接的路由跳转，没有中间代理；接口端点则依赖Hyperplane来实现私有访问的代理转发。
• 性能与弹性：网关端点的性能并不差，因为它直接对接S3的服务网络，没有中间转发环节，这也是你测试250MB文件耗时相同的原因。弹性上，网关端点由AWS完全托管，自动根据流量扩展，不需要你维护；接口端点的ENI数量可以按需配置，同样具备弹性，但两者在绝大多数场景下的性能表现没有显著差异，只是适用场景不同：网关端点仅支持VPC内资源访问S3，而接口端点支持跨VPC、混合云（VPN/Direct Connect）等更复杂的访问场景，还支持私有DNS解析。

内容的提问来源于stack exchange，提问作者VenVig