AWS PrivateLink
Kết nối private tới service
Cho phép truy cập dịch vụ AWS, SaaS hoặc service của account khác qua interface VPC endpoint (ENI có IP private) mà không đi qua Internet, không cần peering hay NAT.
- Chi phí$$ Vừa phải
- Độ khó●●●●●
- Để không có tốn tiền?Có
- AWS quản lý
- Có trong đềSAA · SOA · DVA
Hình dungNhư cửa sau riêng nối thẳng văn phòng bạn với kho của đối tác, không phải ra đường.
Khi nào nên dùng
✓ Nên dùng khi
Expose một service cho nhiều VPC/account mà không mở mạng toàn bộ.
✗ Không nên dùng khi
Cần nối toàn bộ mạng giữa nhiều VPC → Transit Gateway / VPC peering; chỉ truy cập S3/DynamoDB → gateway endpoint miễn phí.
Ví dụ hay gặp
- Gọi API AWS (SQS, KMS…) từ subnet private không có NAT
- Cung cấp SaaS cho khách qua endpoint service
- Chia sẻ service nội bộ giữa account
Tốn bao nhiêu tiền?
- Cách tính: Tính theo giờ cho mỗi interface endpoint mỗi AZ cộng GB dữ liệu xử lý.
Tạo nhiều endpoint × nhiều AZ × nhiều VPC cộng dồn khá nhanh.
Đề hỏi “truy cập một service từ nhiều VPC/tài khoản, không qua Internet, CIDR có thể trùng” thì chọn PrivateLink; “nối toàn bộ mạng nhiều VPC” thì Transit Gateway hoặc peering; “truy cập S3/DynamoDB từ VPC miễn phí” thì chọn gateway endpoint.
Câu hỏi thường gặp
PrivateLink khác gì VPC peering?
VPC peering nối hai mạng với nhau nên hai bên thấy nhau rộng hơn và dải CIDR không được trùng. PrivateLink chỉ mở đúng một service qua interface endpoint, đi một chiều từ phía dùng sang phía cung cấp, nên dải IP trùng nhau vẫn dùng được và không lộ phần mạng còn lại.
Gateway endpoint và interface endpoint khác nhau thế nào?
Gateway endpoint chỉ dành cho S3 và DynamoDB, hoạt động bằng một dòng trong route table và không tính phí giờ. Interface endpoint (công nghệ PrivateLink) là ENI có IP private trong subnet của bạn, dùng được cho rất nhiều dịch vụ AWS, SaaS và service tự dựng, và có tính phí theo giờ cùng lượng dữ liệu.
Muốn chia sẻ service của mình cho VPC hoặc tài khoản khác qua PrivateLink thì cần gì?
Bên cung cấp đặt service sau Network Load Balancer (hoặc Gateway Load Balancer) rồi tạo endpoint service. Bên dùng tạo interface endpoint trỏ tới service đó và bên cung cấp có thể duyệt từng yêu cầu kết nối. Cách này mở rộng được cho rất nhiều khách mà không cần peering hay NAT.
Dịch vụ liên quan
Ôn thi SAA-C03
PrivateLink xuất hiện trong các chủ đề ôn thi sau: