PrivateLink และ VPC Endpoints
เข้าถึงบริการ AWS โดยไม่ต้องออกอินเทอร์เน็ต
แทนที่เราจะต้องขับรถออกถนนสาธารณะ (อินเทอร์เน็ต) เพื่อไปใช้บริการของ AWS (เช่น อัปโหลดไฟล์ S3) VPC Endpoint เหมือนเจาะอุโมงค์ลัดพิเศษจากในรั้วบ้านเรา พุ่งตรงไปถึงบริการเหล่านั้นโดยไม่โผล่ออกสู่โลกภายนอกเลย
เพื่อความปลอดภัยสูงสุด เราสามารถใช้ VPC Endpoint (จุดสิ้นสุดการเชื่อมต่อเครือข่ายเสมือน) เพื่อให้เซิร์ฟเวอร์ใน Private Subnet สามารถสื่อสารกับบริการต่างๆ ของ AWS ได้แบบส่วนตัว โดยไม่ต้องวิ่งผ่าน NAT Gateway และไม่ต้องออกอินเทอร์เน็ตสาธารณะ
- Gateway Endpoint — เป็นบริการใช้ฟรี! แต่ผูกขาดให้ใช้เฉพาะกับ Amazon S3 และ DynamoDB เท่านั้น · ต้องไปตั้งค่าเพิ่มเส้นทางใน Route table เอาเอง
- Interface Endpoint (ใช้เทคโนโลยี PrivateLink) — รองรับบริการ AWS อื่นๆ มากมาย (เช่น SNS, SQS, Kinesis) · จะถูกสร้างเป็นหน้าต่าง (ENI) ขึ้นมาใน Subnet ของเรา และได้เป็น Private IP ไว้ให้เราเรียกใช้ · มีค่าใช้จ่ายต่อชั่วโมง
สรุป Key Takeaways
- VPC Endpoint = เข้าถึงบริการ AWS แบบ private ไม่ออกเน็ต
- Gateway Endpoint (ฟรี) ใช้กับ S3/DynamoDB · Interface Endpoint (PrivateLink) ใช้กับบริการอื่น
- ลดความเสี่ยงและไม่ต้องพึ่ง NAT สำหรับ traffic ไป AWS
คำถามที่พบบ่อย
Gateway Endpoint กับ Interface Endpoint ต่างกันยังไง
Gateway endpoint = ฟรี ใช้ได้กับแค่ S3 กับ DynamoDB ทำงานผ่าน route table ส่วน Interface endpoint (PrivateLink) = สร้าง ENI ใน subnet เรา ใช้ได้กับบริการ AWS ส่วนใหญ่และบริการของบัญชีอื่น แต่คิดเงินรายชั่วโมง+ต่อ GB — โจทย์ S3/DynamoDB แบบประหยัด = Gateway, บริการอื่น/ข้ามบัญชี = Interface
PrivateLink แก้โจทย์แบบไหนที่ peering แก้ไม่ได้
เปิดให้ลูกค้า/บัญชีอื่นเข้าถึง "บริการเดียว" ของเราแบบ private โดยไม่เห็นเครือข่ายกันและกัน และไม่สน CIDR ทับ — เหมาะกับ SaaS provider ให้บริการลูกค้าหลายเจ้า ต่างจาก peering ที่เชื่อมทั้งเครือข่ายเข้าหากัน
ลองทำ Quiz ท้ายบท
คำถามแนวข้อสอบของโมดูลนี้ 5 ข้อ · เฉลยทันที