Redshift Enhanced VPC Routing作用及COPY命令流量路由疑问

为什么部署在VPC中的Redshift执行COPY命令可能不走VPC流量 #

Redshift的集群节点（包括leader节点和计算节点）虽然确实部署在你指定的VPC子网内，但默认模式下，Redshift主动发起的跨服务流量（比如COPY从S3拉取数据、UNLOAD导出数据到对象存储这类操作）走的是AWS托管的服务互联路径，不会经过租户侧VPC的路由栈，因此不受你配置的VPC路由表、安全组、网络ACL规则管控，也不会出现在你的VPC流日志中。
这是AWS托管服务的默认优化设计，和集群部署在VPC内的属性不冲突：客户端访问Redshift的SQL连接流量、集群内部节点之间的交互流量默认确实走VPC网络，但服务侧发起的跨服务数据同步流量默认由AWS平台统一调度路径，不走租户VPC的网络规则。

Enhanced VPC Routing的具体作用 #

开启该功能后，Redshift所有主动发起的外部流量都会强制走租户侧VPC的路由栈，完全对齐你对VPC内资源的网络管控预期，核心收益包括：

• 所有COPY/UNLOAD、Redshift Spectrum查询、联邦查询等跨服务流量都遵守你配置的VPC路由规则，你可以通过VPC端点、安全组、网络ACL限制Redshift仅能访问授权的资源
• 你可以配置S3等服务的VPC私有端点，让COPY流量完全走AWS内部私有网络，不会触达公网，满足网络隔离的合规要求
• 所有Redshift发起的外部流量都会被VPC流日志记录，可用于审计和故障排查
• 你可以将Redshift的外部流量路由到VPC内的防火墙、代理服务做进一步的内容过滤和访问管控

内容的提问来源于stack exchange，提问作者John Doe