Conectividad privada con AWS PrivateLink - VPC Endpoints y Endpoint Services

Accede a servicios AWS y servicios de terceros de forma privada sin pasar por internet. Presentamos el diseño de Interface Endpoints y Gateway Endpoints.

Unos 7 min de lecturaÚltima actualización: 2026-10-31

Descripción general de PrivateLink

PrivateLink es un servicio que proporciona conectividad privada desde una VPC hacia servicios de AWS y SaaS. La comunicación se completa dentro de la red privada de AWS sin pasar por un gateway de internet ni por NAT Gateway. Incluso en entornos que prohíben el acceso a internet por requisitos de seguridad, se pueden usar los servicios de AWS.

Tipos de endpoints

Los Interface Endpoints crean una ENI (Elastic Network Interface) en la subred y acceden a los servicios de AWS mediante una dirección IP privada. Generan cargos por hora y cargos por procesamiento de datos. Los Gateway Endpoints son exclusivos de S3 y DynamoDB, y funcionan agregando una lista de prefijos a la tabla de rutas. Se pueden usar de forma gratuita, y cuando hay un gran volumen de acceso a S3 se recomiendan los Gateway Endpoints. Con una política de endpoint se restringe el acceso solo a buckets de S3 específicos, lo que evita la fuga de datos hacia buckets no previstos.

Creación de Endpoint Services

Para publicar un servicio propio a otras cuentas a través de PrivateLink, se coloca el servicio detrás de un NLB o un GWLB y se crea un Endpoint Service. Con las entidades principales permitidas se controlan las cuentas y las entidades principales de IAM a las que se permite conectarse, y se configura la aprobación manual o automática de las solicitudes de conexión. En el lado del consumidor se crea un Interface Endpoint y se accede al servicio mediante un nombre DNS privado. Si se configura un nombre DNS privado, la resolución DNS dentro de la VPC del consumidor apunta a la ENI del endpoint, y se puede cambiar a la conectividad privada sin modificar el código de la aplicación. Con la política de endpoint se restringe el acceso a acciones de API o recursos específicos, lo que evita la fuga de datos.

Precios y pautas de diseño de PrivateLink

Los Interface Endpoints generan, por cada AZ, un cargo por hora (aproximadamente 0.01 USD por hora) y un cargo por procesamiento de datos (aproximadamente 0.01 USD por GB) (a fecha de agosto de 2026). En una configuración multi-AZ el costo se multiplica por el número de AZ, por lo que el número de AZ en las que se despliega se decide según los requisitos de disponibilidad. Los Gateway Endpoints (S3, DynamoDB) son gratuitos y constituyen la medida de optimización de costos más eficaz para reducir el tráfico que pasa por NAT Gateway. Cuando hay un gran volumen de transferencia de datos, se comparan los cargos por procesamiento de datos de PrivateLink y de NAT Gateway, y se elige la opción con mayor eficiencia de costos. El uso de los VPC Endpoints se puede monitorear con métricas de CloudWatch, y los costos se reducen identificando y eliminando los endpoints que no se usan.

DNS y resolución de nombres privada

Lo que aumenta la comodidad al usar PrivateLink es la función de DNS privado. Si se habilita el DNS privado en un Interface Endpoint, el nombre de host original del servicio pasa a resolverse en la dirección del endpoint dentro de la VPC. Así, se puede cambiar solo la comunicación a una ruta privada sin modificar el código ni la configuración de la aplicación. Para la resolución desde entornos on-premises se combina con Route 53 Resolver. Si no se diseña correctamente la ruta de resolución de nombres, hay casos en los que se usa una ruta pública sin querer, por lo que la configuración de DNS es un elemento importante del diseño de PrivateLink.

Seguridad y diseño de límites

La ventaja de PrivateLink es que la comunicación se puede completar dentro de la VPC sin salir a internet. Así, incluso desde una red cerrada sin gateway de internet, es posible conectarse de forma segura a los servicios necesarios. En los endpoints se pueden configurar políticas para restringir qué operaciones se permiten sobre qué recursos. Con los grupos de seguridad se limitan los orígenes de la comunicación y se abren solo las rutas mínimas. Incluso en configuraciones en las que se ofrecen y usan servicios entre cuentas, a través de PrivateLink se pueden publicar de forma segura solo servicios específicos sin mostrar toda la red a la otra parte.

Casos de uso habituales

PrivateLink responde a diversos requisitos de conectividad. Los proveedores de SaaS pueden usarlo como ruta para ofrecer de forma segura sus propios servicios a las VPC de sus clientes. También es posible una configuración en la que se conectan los entornos on-premises y AWS mediante una línea dedicada o una VPN y, a continuación, solo se llega a servicios específicos a través de PrivateLink. También es adecuado para que varias cuentas y equipos usen de forma segura los servicios compartidos dentro de una organización. Como conecta los servicios sin pasar por internet, demuestra su valor especialmente en entornos con requisitos como mantener las rutas de datos dentro de la empresa o no aumentar los endpoints públicos.

Operación y disponibilidad

Para usar PrivateLink en producción, se diseñan tanto la disponibilidad como el costo. Los endpoints se colocan en varias zonas de disponibilidad para que la comunicación pueda continuar aunque se produzca un fallo en una de las zonas. Como los Interface Endpoints se cobran según el tiempo y el volumen de datos procesados, se crean solo para los servicios que realmente se necesitan y no se dejan endpoints innecesarios. Como en algunos casos la conexión a ciertos servicios se puede sustituir por los Gateway Endpoints gratuitos, los costos se contienen usando cada tipo según corresponda. Monitorear el uso y revisar periódicamente el número y la configuración de los endpoints conduce a una operación eficiente.

Resumen

PrivateLink es un servicio que proporciona conectividad privada desde una VPC y logra una comunicación segura que no pasa por internet. Con los Gateway Endpoints se establece una conexión privada gratuita a S3/DynamoDB, y con los Interface Endpoints se accede de forma privada a al menos 100 servicios de AWS. Con las políticas de endpoint se restringe el acceso, y con los Endpoint Services se publican de forma segura los servicios propios a otras cuentas.

Referencias (recursos oficiales de AWS)

Las fuentes primarias de esta página son el sitio web y la documentación oficiales de AWS. Consulta las páginas oficiales siguientes para conocer las especificaciones y los precios más recientes.

Si esta página y la documentación oficial difieren, prevalece la documentación oficial.

Construcción de service mesh con AWS App Mesh - Control de comunicación entre microservicios y observabilidadPresentamos cómo configurar de forma declarativa despliegues canary con sidecar Envoy, políticas de reintento y cifrado mTLS, y cómo visualizar las dependencias entre servicios con la integración de X-Ray (AWS dejó de dar soporte a App Mesh el 30 de septiembre de 2026).Descubrimiento de servicios con AWS Cloud Map - Resolución dinámica de nombres para microserviciosDescubra dinámicamente endpoints de microservicios usando enfoques basados en DNS y API. Aprenda cómo automatizar el registro y desregistro de servicios mediante integración con ECS y EKS.Cómo funciona la selección de PoP de CloudFront - El enrutamiento DNS y la jerarquía de cachéExplicamos el mecanismo de enrutamiento basado en DNS con el que CloudFront dirige las solicitudes de los usuarios al PoP más cercano, la estructura de caché de varias capas formada por las ubicaciones de borde y las cachés de borde regionales, y los factores de diseño que determinan la tasa de aciertos de caché.Diseño de conexión dedicada - Conexión de red privada estable con Direct ConnectSe explican los métodos de diseño de conexiones de línea dedicada con AWS Direct Connect y se presenta cómo lograr una conexión de red privada estable mediante la elección entre conexión dedicada y conexión hospedada, la configuración redundante y la integración con VPC.Conexión dedicada con AWS Direct Connect - Configuración redundante y control de tráficoDiseñe configuraciones redundantes de conexión dedicada y conéctese a VPCs de múltiples regiones con Direct Connect Gateway. También presentamos la agregación de ancho de banda con LAG y el cifrado MACsec.Gestión y diseño de Elastic IP - Uso de IP estáticas y optimización de costosExplicamos la asignación de Elastic IP, la asociación con EC2, el impacto en costos de EIP no utilizadas y la consideración de alternativas.Por qué ELB se divide en 4 tipos - Detrás de las decisiones de diseño de ALB / NLB / GWLB / CLBSe explica por qué los 4 tipos de balanceadores de carga, ALB, NLB, GWLB y CLB (Classic), coexisten sin unificarse, a partir de las capas del modelo de referencia OSI, las características de rendimiento y la evolución histórica.Optimización de red global con AWS Global Accelerator - Entrega de baja latencia y failoverAprende a enrutar tráfico hacia la red global de AWS usando IPs Anycast, diseñar grupos de endpoints y lograr failover mediante health checks.