通过VPC终端节点访问AWS S3：跨区域无互联网访问可行性咨询

简短结论：不行，你在Region1创建的VPC终端节点没办法直接访问Region2的S3存储桶，而且绕不开互联网。

为什么不行？ #

• S3的网关终端节点（这是访问S3最常用的终端节点类型）是区域绑定的资源。它的DNS解析只会指向当前Region的S3服务端点，完全不会处理跨区域的请求路由。
• 如果你硬要用Region1的终端节点去访问Region2的桶，请求会先打到Region1的S3服务，但这个服务没办法直接转发请求到Region2的桶，最终要么请求失败，要么还是会走互联网路径去访问跨区域的桶，达不到你想要的“无需互联网”的目的。

那怎么实现跨区域无互联网访问S3？ #

给你两个可行的方案：

1. 跨区域VPC连接+目标区域终端节点
   • 用VPC对等连接（VPC peering）或者AWS Transit Gateway把Region1的VPC和Region2的VPC连接起来，确保两个VPC之间的流量可以私有传递。
   • 然后在Region2创建对应的S3网关终端节点，Region1里的资源就能通过跨区域VPC连接，访问Region2的终端节点，进而访问该区域的S3桶，全程不走公网。
2. S3跨区域复制
   • 把Region2桶里的内容复制到Region1的S3桶中，这样你直接用Region1本地的终端节点访问复制后的桶就行。这个方案适合不需要实时访问原桶内容的场景，毕竟复制有一定延迟。

额外注意点 #

• 就算是S3的接口终端节点（相对少用），同样是区域绑定的，跨区域也没法直接用。
• 配置跨区域VPC连接时，一定要检查路由表是否正确配置，允许流量在两个VPC之间传递；同时S3桶的权限策略要明确允许来自Region1 VPC的访问请求。

内容的提问来源于stack exchange，提问作者Abhijeet Sachdev