EC2与DynamoDB等AWS服务的连接路径及管控方式咨询

连接路径的两种场景 #

• 内网连接（AWS私有骨干网络）：如果给VPC配置了对应服务的VPC端点（网关型或接口型），或者EC2使用AWS默认的私有DNS解析，那么EC2调用DynamoDB这类服务的流量会完全走AWS内部的私有网络，不会经过公网。比如DynamoDB的网关型VPC端点，请求直接通过AWS骨干网络路由到服务，全程不碰公网链路。
• 公网连接：没配置VPC端点的情况下，如果EC2实例有公网访问能力（比如分配了公网IP/弹性IP，或者子网关联了互联网网关），EC2会通过公网访问AWS服务的公网端点。虽然AWS会优化这部分流量的内部路径，但本质还是走公网。

管控连接路径的方法 #

• 配置VPC端点：这是实现内网访问、管控路径的核心方式
  • 网关型端点：针对DynamoDB、S3这类服务，需要在子网的路由表中添加指向该端点的路由规则，把目标服务的流量导向内网。
  • 接口型端点：适用于Lambda、SNS等多数其他AWS服务，会在子网中创建弹性网络接口，通过私有IP访问服务，还能结合安全组、网络ACL进一步限制访问范围。
• 路由表规则管控：通过修改子网路由表，强制将AWS服务的流量指向VPC端点（确保内网访问），或者直接拒绝访问该服务的公网路由。
• 网络ACL与安全组限制：
  • 网络ACL：作为子网级防火墙，设置入站/出站规则，允许或拒绝EC2与目标AWS服务的流量。
  • 安全组：给EC2实例或VPC端点配置安全组，只允许特定实例或IP段访问目标服务，进一步缩小访问范围。
• 禁用不必要的公网访问：如果EC2不需要访问公网，可以不给实例分配公网IP，移除子网的互联网网关关联，强制所有AWS服务访问走VPC端点。

内容的提问来源于stack exchange，提问作者variable