为什么AWS Private Link/Interface endpoint无需路由表条目？流量如何流转？

你的初始理解是正确的，路由表确实是VPC流量转发的核心决策依据，完整的流量处理流程按阶段拆分如下：

1. DNS解析阶段 #

实例发起对目标云服务的访问请求后，首先会触发DNS查询：

• 如果你为该VPC Endpoint开启了私有DNS解析，VPC内置的DNS服务器会直接返回Endpoint对应的私有IP（接口型Endpoint）或专属路由前缀（网关型Endpoint），不会返回云服务的公网IP
• 如果未开启私有DNS，你需要手动将请求目标修改为VPC Endpoint的专属域名，否则流量会默认走公网路径，不会进入Endpoint链路

注意：部分云厂商的网关型Endpoint不需要域名解析适配，只要路由表配置正确即可生效

2. 路由表匹配阶段 #

实例出站流量首先查询所属子网关联的路由表，按最长前缀匹配规则确定转发路径：

• 针对网关型VPC Endpoint（比如对象存储、NoSQL数据库这类托管服务的专属网关端点）：路由表中会自动添加目标为该云服务公网网段前缀、下一跳为vpce-<端点ID>的路由条目，匹配到该条目后流量会直接转发到对应网关端点
• 针对接口型VPC Endpoint：Endpoint的私有IP属于VPC内网网段，流量会匹配到VPC本地路由，直接在VPC内部转发，不需要经过Internet网关、NAT网关等公网出口设备

3. 权限校验与流量转发阶段 #

流量抵达Endpoint前需要经过两层权限校验：

• 第一层校验实例关联的出站安全组规则，确认放行目标为Endpoint对应IP、端口的访问请求
• 第二层校验VPC Endpoint关联的端点策略，验证实例的访问权限、操作范围是否符合策略要求
• 两层校验都通过后，Endpoint会将流量通过云厂商内部骨干网直接转发到对应云服务，全程不会流出公有云内部网络，也不会经过公网链路

常见配置异常场景 #

• 子网路由表未添加对应VPC Endpoint的路由条目，流量会匹配默认公网路由走公网路径
• 安全组、端点策略拦截访问请求，会直接导致流量丢包
• 未开启私有DNS也未手动指定Endpoint专属域名，流量不会进入Endpoint转发链路

内容的提问来源于stack exchange，提问作者Matt Curry