AWS PrivateLink
Función de red que permite conexión privada a servicios AWS y servicios de terceros desde dentro de la VPC sin pasar por Internet
Descripción general
AWS PrivateLink es una tecnología de red que permite acceder a servicios AWS, servicios de terceros y servicios propios de forma privada desde dentro de la VPC sin que el tráfico atraviese Internet. Crea interfaces de red elásticas (ENI) dentro de la VPC que sirven como puntos de entrada privados a los servicios, manteniendo todo el tráfico dentro de la red de AWS.
Diferencia entre endpoints de interfaz y endpoints de gateway
PrivateLink ofrece dos tipos de endpoints VPC: endpoints de interfaz y endpoints de gateway. Los endpoints de interfaz crean ENIs con direcciones IP privadas en las subredes especificadas, soportando la mayoría de servicios AWS y servicios de terceros en AWS Marketplace. Los endpoints de gateway son específicos para S3 y DynamoDB, funcionando mediante entradas en las tablas de rutas sin crear ENIs. Los endpoints de interfaz incurren en cargos por hora y por GB de datos procesados, mientras que los endpoints de gateway son gratuitos. Para S3 y DynamoDB, los endpoints de gateway son generalmente preferibles por costo, pero los endpoints de interfaz son necesarios cuando se requiere acceso desde redes on-premises vía Direct Connect o VPN.
Efecto de reducción de costos como alternativa a NAT Gateway
Un caso de uso significativo de PrivateLink es reemplazar NAT Gateway para el acceso a servicios AWS desde subredes privadas. NAT Gateway cobra por hora más por GB de datos procesados, y en entornos con alto volumen de llamadas a APIs de AWS (S3, DynamoDB, STS, CloudWatch), los costos de NAT Gateway pueden ser sustanciales. Crear endpoints de interfaz para estos servicios elimina la necesidad de que el tráfico pase por NAT Gateway, reduciendo costos. El análisis de VPC Flow Logs identifica qué servicios AWS generan más tráfico a través de NAT Gateway, priorizando la creación de endpoints para esos servicios. En entornos con múltiples VPCs, centralizar endpoints en una VPC de servicios compartidos y acceder vía Transit Gateway puede optimizar costos.
Publicación de servicios mediante endpoint services
PrivateLink permite publicar servicios propios como endpoint services, accesibles por otras cuentas AWS sin exponer el servicio a Internet. El proveedor del servicio coloca un Network Load Balancer (NLB) o Gateway Load Balancer frente a su servicio y lo registra como endpoint service. Los consumidores crean endpoints de interfaz en sus VPCs que se conectan al endpoint service. El tráfico fluye de forma privada a través de la red de AWS. Este modelo es utilizado por proveedores SaaS para ofrecer conectividad privada a sus clientes, y por equipos de plataforma internos para exponer servicios compartidos a equipos de aplicación en diferentes cuentas. La aceptación de conexiones puede ser automática o requerir aprobación manual, proporcionando control sobre quién puede acceder al servicio.