使用 VPC 对等连接的接口端点进行 S3 跨区域访问相比使用 NAT 网关公网连接的优势是什么?

0

【以下的问题经过翻译处理】 我的团队计划在私有VPC中设置EMR集群,其中主要存储为us-east-1的S3存储桶。我们需要跨区域访问S3,并一直在探索不同的实现方法。我们考虑了两种方法:

  1. 在us-east-1中设置没有公网访问权限的隔离VPC,用于S3存储桶访问,在每个区域中都设置一个VPC来启动我们的EMR集群。我们将为每个VPC与us-east-1的VPC配对,并在us-east-1 VPC中设置接口端点,以通过VPC对等连接访问S3。使用了AWS PrivateLink。
  2. 在公共子网中设置Internet网关和NAT网关的私有VPC,同时在私有子网中启动EMR集群。我们将通过公共互联网跨区域访问S3。

对于这两种解决方案,当计算和存储在同一区域时,我们将利用网关端点,因为我们发现这应该会产生与接口端点相同的好处,但没有额外的费用。

通过我的研究,我发现AWS PrivateLink更安全,因为没有使用公共互联网,并且具有显著的延迟优势,高达70%,根据此实验:https://blogs.vmware.com/security/2020/03/performance-testing-justifying-cost-and-performance-improvements-part-2.html

我想知道,如果我们使用VPC对等连接,是否仍然会看到这种延迟优势,还是最好选择使用公网连接。

1 Antwort
0

【以下的回答经过翻译处理】 请记住,使用公共IP寻址并不一定意味着“公共互联网”。实际上,在[VPC FAQ](https://aws.amazon.com/vpc/faqs/)中,我们声明:“使用公共IP地址时,所有EC2实例和AWS服务之间的通信都使用AWS的私有网络。”实际上,因为S3使用TLS,这里的安全性好处取决于端点策略,允许您限制访问特定的S3存储桶。

而且,无论您是使用公共IP地址还是通过VPC或Transit Gateway peering使用私有IP地址,区域之间的流量都经过相同的骨干网络,延迟差别将是微不足道的。

S3 网关端点是零成本的,但只能从创建它们的VPC内访问。S3 PrivateLink 端点可以从其他对等的VPC访问,但需要付出成本。

总之:建议选择最低成本且满足您要求的架构。

profile picture
EXPERTE
beantwortet vor 5 Monaten

Du bist nicht angemeldet. Anmelden um eine Antwort zu veröffentlichen.

Eine gute Antwort beantwortet die Frage klar, gibt konstruktives Feedback und fördert die berufliche Weiterentwicklung des Fragenstellers.

Richtlinien für die Beantwortung von Fragen