为何AWS推荐使用AWS PrivateLink及VPC端点替代公共/互联网网关

VPC 端点可实现虚拟私有云（VPC）与受支持服务之间的连接，无需使用互联网网关、NAT 设备、VPN 连接或 AWS Direct Connect 连接，因此您的 VPC 不会暴露在公共互联网中。

AWS PrivateLink 是一种高可用、可扩展的技术，支持您将 VPC 私有连接到受支持的 AWS 服务、其他 AWS 账户托管的服务（VPC 端点服务）以及受支持的 AWS Marketplace 合作伙伴服务。与服务通信时无需使用互联网网关、NAT 设备、公网 IP 地址、AWS Direct Connect 连接或 AWS Site-to-Site VPN 连接，因此您的 VPC 不会暴露在公共互联网中。

公共互联网HTTPS传输的安全隐患 #

即使所有进出AWS的流量都使用HTTPS协议，走公网传输仍然存在多个层面的安全风险：

• 流量元数据泄露：HTTPS只能加密传输的载荷内容，通信双方的IP地址、访问域名、流量大小、通信时间等元数据都是公开的。攻击者可以通过流量分析梳理你的业务架构、用户访问规律，也可以直接针对公网IP发起DDoS攻击，导致业务中断。
• 证书信任链风险：如果客户端或服务端的证书配置存在瑕疵，比如信任了不可信的根证书、未开启证书吊销校验、自签名证书管理混乱，攻击者可以通过中间人攻击（MITM）伪造合法证书，在用户无感知的情况下劫持传输链路。
• TLS协议与配置漏洞：如果使用过时的TLS 1.0/1.1版本，或者启用了存在缺陷的加密套件，攻击者可以利用已知漏洞（如BEAST、CRIME、Heartbleed等）直接破解加密流量。
• 公网入口暴露风险：要接收公网HTTPS请求，你的VPC必须开放公网入口，哪怕仅开放443端口，攻击者依然可以针对端口后的服务做漏洞探测、注入攻击，一旦应用层存在安全漏洞，攻击者可以直接入侵VPC内部。

HTTPS传输内容被解密的可能性 #

HTTPS不是绝对的安全，以下场景下传输内容可能被解密：

• 上述中间人攻击成功时，攻击者可以完整解密、甚至篡改所有传输内容，终端侧不会有明显感知。
• TLS协议版本或加密套件存在已知漏洞时，攻击者可以通过离线破解、重放攻击等方式还原加密的传输内容。
• 签发证书的CA机构被入侵或违规签发证书时，攻击者可以利用伪造的合法证书实施中间人攻击，解密传输内容。
• 部分企业会在员工终端预装内部信任的根证书，通过代理网关解密所有外发HTTPS流量做安全审计，这类场景下传输内容对审计网关完全透明。

VPC端点和PrivateLink的核心价值是把通信链路完全限制在AWS内部网络，不需要经过公网，从根源上规避了上述所有公网层面的安全风险。

内容的提问来源于stack exchange，提问作者distinct_name