通过DirectConnect访问的静态网站托管方案咨询（自定义域名+HTTPS）

先澄清你的CloudFront+S3认知误区 #

CloudFront并非必然让流量走公网，你可以通过配置让全程流量通过DirectConnect传输：

• 给CloudFront设置地理访问限制，仅开放你DirectConnect对应的AWS私有IP段访问权限
• 搭配AWS PrivateLink，让CloudFront与S3之间的流量走AWS内部网络，用户通过DirectConnect接入AWS后访问CloudFront，全程不经过公网

若仍不想用CloudFront，可选择以下方案 #

1. S3静态网站 + VPC端点（Gateway类型） #

• 为S3创建VPC网关端点，通过DirectConnect的私有VIF将你的本地网络与AWS VPC打通，用户直接通过VPC端点访问S3静态资源
• 自定义域名和HTTPS可通过在VPC内部署反向代理（如Nginx、Apache）实现：代理服务器绑定你的SSL证书，将请求转发到S3的VPC端点地址

2. EC2直接托管静态网站 #

• 在AWS VPC内启动EC2实例，部署Nginx或Apache来托管静态文件
• 通过DirectConnect私有VIF连通本地网络与VPC，用户直接访问EC2的私有IP或私有DNS
• 自定义域名可通过私有DNS服务器解析到EC2私有IP，HTTPS直接在Web服务器上部署SSL证书即可

3. EFS存储 + EC2/ECS托管 #

• 将静态文件存在EFS中，挂载到EC2实例或者ECS容器里提供访问
• 同样通过DirectConnect私有VIF实现本地与VPC的私有连通，确保流量不碰公网
• HTTPS和自定义域名的配置逻辑和EC2方案一致

内容的提问来源于stack exchange，提问作者Yaiba