配置AWS S3网关端点后流量日志仍显公网IP？相关技术咨询

1. 为何使用网关端点后仍会在流量日志中看到S3的公网IP？ #

• S3网关端点通过VPC路由策略拦截目标为S3前缀的流量，将其导向AWS内部网络，但S3的DNS解析默认返回公网IP，Flow Logs记录的是解析后的目标IP，因此日志中仍会显示公网IP。
• 如果EC2实例访问的是跨区域S3桶，网关端点无法跨区域生效，此时流量会走公网，日志也会显示公网IP。
• 若路由表配置错误（比如未添加S3前缀列表指向网关端点的路由），流量会 fallback 到公网，同样会显示公网IP。

2. 这是否意味着流量仍在走公网？ #

• 不一定。满足以下条件时，流量是在AWS内部传输，不会流出公网：
  • 路由表已正确配置：目标为S3前缀列表（pl-xxxx），下一跳指向S3网关端点
  • 访问的是与VPC同区域的S3桶
  • 端点策略允许该EC2实例访问目标桶
• 只有当路由配置错误、跨区域访问、或端点策略拒绝访问导致流量走公网时，才会产生公网流出流量。

3. 有没有可靠方法验证流量是否使用私网端点而非公网连接？ #

• 检查Flow Logs的interface-id字段：流量通过网关端点时，该字段会显示网关端点的ID（格式为vpce-xxxx）；公网流量则显示EC2实例的弹性网卡ID或为空。
• 在EC2实例上执行路由追踪：运行traceroute s3.<region>.amazonaws.com（Linux）或tracert s3.<region>.amazonaws.com（Windows），若路径中只有AWS内部节点（无公网运营商IP），说明走的是网关端点。
• 查看网关端点的CloudWatch指标：监控BytesIn和BytesOut指标，若有数据增长，证明流量通过端点传输。
• 禁用公网访问测试：临时移除EC2实例的公网IP，或修改安全组禁止出站公网流量，若仍能正常访问S3，说明流量走的是网关端点；反之则走公网。

4. S3桶无专属私网IP，因此日志始终显示公网IP是否正常？ #

• 是的，这属于正常现象。S3是全球分布式服务，没有专属私网IP，其DNS解析返回的都是公网IP段。网关端点的作用是通过路由策略拦截流量，将其转入AWS内部网络，而非修改S3的IP类型。因此Flow Logs中显示S3的公网IP是正常的，无需担心，重点关注流量的实际路由路径和端点使用指标即可。

内容的提问来源于stack exchange，提问作者Pasquale Meo