🖼️ See the drawing + lab 🏠 Course home 🌿 Branch on GitHub ✏️ View source

🖼️ आकृती आणि labThe drawing + lab पूर्ण पानावर उघडा ↗Open full page ↗

🚇 धडा 07 — VPC endpoints: AWS services पर्यंतचा खाजगी बोगदा

📍 तुम्ही इथे आहात: 12 पैकी धडा 07 · मागचा: lesson-06-sg-vs-nacl · पुढचा: lesson-08-dns

📦 या ब्रँचमध्ये काय आहे

भाग 1 मधला संपूर्ण campus, आणि दरवाजा नसलेला पहिला बाहेरचा मार्ग: S3 साठी एक gateway endpoint. campus() (vpc/demo.py) मध्ये दोन्ही private route tables मध्ये pl-s3 → vpce-s3 आहे; endpoints() दाखवते की S3 traffic app wing मधून (ज्याला NAT सुद्धा आहे) आणि data wing मधून (ज्याला दुसरे काहीच नाही) कुठे जाते.

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

शाळा आपल्या जुन्या परीक्षेच्या प्रश्नपत्रिका एका मोठ्या शहरातील संग्रहालयात 🗄️ ठेवते — तेच S3. हे संग्रहालय campus च्या कुंपणाबाहेर आहे.

App wing एखाद्या निरोप्याला बाजूच्या दारातून (NAT) बाहेर, शहराच्या रस्त्यावरून, संग्रहालयापर्यंत पाठवू शकतो. हे चालते — पण प्रत्येक फेरीला टोल लागतो, आणि निरोप्या रस्त्यावर उघड्यावर असतो.

म्हणून शाळा स्वतःच्या campus मधून थेट संग्रहालयात एक खाजगी बोगदा 🚇 खणते. Corridor वरच्या पाटीवर एक नवी ओळ येते: "संग्रहालय → बोगदा". आता निरोप्या कधीच AWS बाहेर जात नाही, आणि हा बोगदा मोफत आहे. ज्या data wing ला कोणतेच दार नाही, तोसुद्धा या बोगद्यातून संग्रहालयापर्यंत पोहोचू शकतो.

शहरातल्या इतर कार्यालयांसाठी (रांगा, गुपिते, container images) शाळा आपल्या स्वतःच्या wing मध्येच एक छोटी खाजगी खिडकी 🪟 बसवू शकते — campus चा नंबर असलेले एक desk, जे थेट त्या कार्यालयाशी बोलते. त्या खिडकीचे भाडे तासाप्रमाणे लागते.

🗺️ आकृती

flowchart LR
    app["🖥️ app wing<br/>rt-private-a"]
    data["🗄️ data wing<br/>rt-data"]
    nat["🚪 nat-a<br/>paid per GB"]
    vpce["🚇 vpce-s3<br/>gateway endpoint · free"]
    s3["🪣 S3 52.219.40.10"]
    app -->|"pl-s3 beats 0.0.0.0/0"| vpce
    data -->|"pl-s3 — the only way out"| vpce
    vpce --> s3
    app -.->|"without the endpoint"| nat -.-> s3

🗺️ रेखाटलेली आवृत्ती + एक lab: https://school-edh.pages.dev/vpc/lesson-diagrams.html#l07

❓ काय

Gateway endpoint — फक्त S3 आणि DynamoDB साठी. हे तुमच्या route tables मधले एक target आहे: AWS एक route जोडते ज्याचे destination त्या service ची prefix list (pl-…) असते आणि target endpoint (vpce-…) असतो. Endpoint साठी किंवा त्यातून जाणाऱ्या data साठी कोणताही खर्च नाही. हे फक्त VPC च्या आत सुरू होणाऱ्या traffic साठी चालते — VPN वरून on-premises मधून नाही, peered VPC मधूनही नाही.
Interface endpoint (AWS PrivateLink) — तुम्ही निवडलेल्या प्रत्येक subnet मध्ये private IP असलेले एक elastic network interface, अनेक services साठी: SQS, ECR, STS, Secrets Manager, CloudWatch, आणि आणखी (S3 साठीही एक आहे). त्याला security group असतो. Private DNS चालू असेल तर service चे नेहमीचे नाव (जसे sqs.ap-south-1.amazonaws.com) तुमच्या VPC च्या आत private IP मध्ये resolve होते. खर्च प्रति AZ प्रति तास आणि प्रति GB (अनेक Regions मध्ये साधारण $0.01 प्रति AZ-hour आणि $0.01 प्रति GB — PrivateLink pricing page तपासा).
Endpoint policy — endpoint वरची resource-style policy: "या बोगद्यातून फक्त हे buckets". ही भाषा IAM शाळा शिकवते.
NAT gateway — हासुद्धा private wings ना S3 पर्यंत नेतो, पण प्रति तास आणि प्रति GB खर्च घेतो (अनेक Regions मध्ये साधारण $0.045 प्रति GB), आणि traffic public IP मधून बाहेर जाते.

🤔 का

कारण private wing मधले सर्वात मोठे traffic सहसा S3 चे असते — backups, logs, data files — आणि प्रत्येक GB वर NAT चा टोल भरणे शांतपणे वाढत जाते. आणि कारण internet route अजिबात नसलेल्या data wing ला सुद्धा S3 आणि काही AWS APIs लागतात: endpoints त्याला नेमके तेवढेच देतात, आणि दुसरे काहीच नाही.

🔧 कसे (या repo मध्ये)

vpc/demo.py मधले PL = {"pl-s3": ["52.219.0.0/16", "3.5.0.0/16"]} हे S3 prefix list चे एक model आहे (उदाहरणादाखल ranges). RouteTable.lookup() pl-s3 ला त्याच्या ranges मध्ये उलगडते, म्हणून 52.219.40.10 हा 52.219.0.0/16 शी जुळतो — एक /16, जो 0.0.0.0/0 पेक्षा अधिक specific आहे — आणि endpoint NAT वर जिंकतो. हे धडा 04 मधले longest-prefix match च आहे, नवीन काहीच नाही.

🧪 करून पाहा

python3 vpc/demo.py endpoints
python3 - <<'EOF'
import sys; sys.path.insert(0, "vpc")
from demo import campus, PL
c = campus()
for rt in ("rt-private-a", "rt-data"):
    c.rts[rt].routes = [r for r in c.rts[rt].routes if r[0] != "pl-s3"]   # delete the endpoint route
    print(rt.ljust(13), "S3 via", c.rts[rt].lookup("52.219.40.10", PL))
EOF

✅ तपासा — तुम्हाला काय दिसायला हवे

endpoints हे छापते:

   rt-private-a  → S3 52.219.40.10 via pl-s3 → vpce-s3
   rt-data       → S3 52.219.40.10 via pl-s3 → vpce-s3

तुमचा snippet बोगदा काढून टाकतो आणि rt-private-a S3 via ('0.0.0.0/0', 'nat-a') छापतो — app wing अजूनही S3 पर्यंत पोहोचतो, पण आता पैसे घेणाऱ्या बाजूच्या दारातून — आणि rt-data S3 via (None, None) — data wing S3 पर्यंत अजिबात पोहोचू शकत नाही.

🏁 तुम्ही आत्ताच काय सिद्ध केले

Endpoint म्हणजे corridor च्या पाटीवरची फक्त एक अधिक specific ओळ. ती असेल तर S3 traffic NAT टाळते; ती नसेल तर app wing टोल भरतो आणि data wing तुटतो.

⚠️ नेहमीच्या चुका

S3 gateway endpoint नाही — प्रत्येक backup आणि log file वर NAT चा खर्च लागतो
gateway endpoint तयार करणे पण तो प्रत्येक private route table शी associate न करणे
ज्याचा security group wings मधून 443 ला परवानगी देत नाही असा interface endpoint
private DNS बंद, त्यामुळे SDK अजूनही public नाव resolve करतो आणि NAT मधून जातो
gateway endpoint on-premises मधून किंवा peered VPC मधून चालेल अशी अपेक्षा — तो चालत नाही

🏭 प्रत्यक्ष वापरात

जवळजवळ प्रत्येक VPC ला पहिल्याच दिवशी S3 आणि DynamoDB gateway endpoints मिळतात — मोफत, आणि ते NAT चे बिल कमी करतात. फक्त private असलेले VPCs ECR, STS, CloudWatch Logs आणि Secrets Manager साठी interface endpoints जोडतात, कधी कधी तासाचा खर्च वाचवण्यासाठी एका मध्यवर्ती VPC मधून share करून.

खऱ्या account वर (AWS CLI आणि credentials लागतात; IDs उदाहरणादाखल आहेत):

aws ec2 create-vpc-endpoint --vpc-id vpc-0123456789abcdef0 --vpc-endpoint-type Gateway \
    --service-name com.amazonaws.ap-south-1.s3 \
    --route-table-ids rtb-0app000000000000a rtb-0data00000000000a
aws ec2 create-vpc-endpoint --vpc-id vpc-0123456789abcdef0 --vpc-endpoint-type Interface \
    --service-name com.amazonaws.ap-south-1.ecr.api \
    --subnet-ids subnet-0a subnet-0b subnet-0c --security-group-ids sg-0endpoints00000a \
    --private-dns-enabled
aws ec2 describe-prefix-lists --query 'PrefixLists[].[PrefixListId,PrefixListName]' --output table

⏭️ पुढे

Interface endpoint चालला कारण एका नावाचे private पत्त्यात रूपांतर झाले. ती नावे कोण सांगते? VPC मधले DNS — campus ची phone book.

git checkout lesson-08-dns

🚇 Lesson 07 — VPC endpoints: a private tunnel to AWS services

📍 You are here: Lesson 07 of 12 · Previous: lesson-06-sg-vs-nacl · Next: lesson-08-dns

📦 What's in this branch

The whole campus of Part 1, plus the first way out that is not a gate: a gateway endpoint for S3. In campus() (vpc/demo.py) both private route tables carry pl-s3 → vpce-s3; endpoints() shows where S3 traffic goes from the app wing (which also has a NAT) and from the data wing (which has nothing else).

🧒 Explain like I'm 5

The school keeps its old exam papers in a giant city archive 🗄️ — that is S3. The archive is outside the campus fence.

The app wing could send a runner out through the side gate (the NAT), down the city street, to the archive. It works — but every trip costs a toll, and the runner is out on the street.

So the school digs a private tunnel 🚇 from its own campus straight into the archive. The corridor sign gets one new line: "archive → the tunnel". Now the runner never leaves AWS, and this tunnel is free. Even the data wing, which has no gate at all, can reach the archive through it.

For other offices in the city (queues, secrets, container images) the school can put a small private window 🪟 right inside its own wing — a desk with a campus number that talks straight to that office. That window has a rent, by the hour.

🗺️ Diagram

flowchart LR
    app["🖥️ app wing<br/>rt-private-a"]
    data["🗄️ data wing<br/>rt-data"]
    nat["🚪 nat-a<br/>paid per GB"]
    vpce["🚇 vpce-s3<br/>gateway endpoint · free"]
    s3["🪣 S3 52.219.40.10"]
    app -->|"pl-s3 beats 0.0.0.0/0"| vpce
    data -->|"pl-s3 — the only way out"| vpce
    vpce --> s3
    app -.->|"without the endpoint"| nat -.-> s3

🗺️ Drawn version + a lab: https://school-edh.pages.dev/vpc/lesson-diagrams.html#l07

❓ What

Gateway endpoint — for S3 and DynamoDB only. It is a target in your route tables: AWS adds a route whose destination is the service's prefix list (pl-…) and whose target is the endpoint (vpce-…). No charge for the endpoint or the data through it. It works only for traffic that starts inside the VPC — not from on-premises over a VPN, not from a peered VPC.
Interface endpoint (AWS PrivateLink) — an elastic network interface with a private IP in each subnet you choose, for many services: SQS, ECR, STS, Secrets Manager, CloudWatch, and more (S3 has one too). It has a security group. With private DNS on, the service's normal name (like sqs.ap-south-1.amazonaws.com) resolves to the private IP inside your VPC. Charged per hour per AZ plus per GB (approximately $0.01 per AZ-hour and $0.01 per GB in many Regions — check the PrivateLink pricing page).
Endpoint policy — a resource-style policy on the endpoint: "only these buckets through this tunnel". The IAM school covers the language.
NAT gateway — also gets private wings to S3, but charges per hour and per GB (approximately $0.045 per GB in many Regions), and the traffic leaves through a public IP.

🤔 Why

Because S3 is usually the biggest traffic from a private wing — backups, logs, data files — and paying the NAT toll on every GB adds up quietly. And because a data wing with no internet route at all still needs S3 and a few AWS APIs: endpoints give it exactly that, and nothing else.

🔧 How (in this repo)

PL = {"pl-s3": ["52.219.0.0/16", "3.5.0.0/16"]} in vpc/demo.py is a model of the S3 prefix list (example ranges). RouteTable.lookup() expands pl-s3 into its ranges, so 52.219.40.10 matches 52.219.0.0/16 — a /16, more specific than 0.0.0.0/0 — and the endpoint wins over the NAT. That is longest-prefix match from lesson 04, nothing new.

🧪 Try it

python3 vpc/demo.py endpoints
python3 - <<'EOF'
import sys; sys.path.insert(0, "vpc")
from demo import campus, PL
c = campus()
for rt in ("rt-private-a", "rt-data"):
    c.rts[rt].routes = [r for r in c.rts[rt].routes if r[0] != "pl-s3"]   # delete the endpoint route
    print(rt.ljust(13), "S3 via", c.rts[rt].lookup("52.219.40.10", PL))
EOF

✅ Verify — what you should see

endpoints prints:

   rt-private-a  → S3 52.219.40.10 via pl-s3 → vpce-s3
   rt-data       → S3 52.219.40.10 via pl-s3 → vpce-s3

Your snippet removes the tunnel and prints rt-private-a S3 via ('0.0.0.0/0', 'nat-a') — the app wing still reaches S3, but now through the paid side gate — and rt-data S3 via (None, None) — the data wing cannot reach S3 at all.

🏁 What you just proved

An endpoint is just a more specific line on the corridor sign. With it, S3 traffic skips the NAT; without it, the app wing pays the toll and the data wing is cut off.

⚠️ Common mistakes

no S3 gateway endpoint — every backup and log file pays NAT charges
creating the gateway endpoint but not associating it with every private route table
an interface endpoint whose security group does not allow 443 from the wings
private DNS off, so the SDK still resolves the public name and goes through the NAT
expecting a gateway endpoint to work from on-premises or a peered VPC — it does not

🏭 In production

Almost every VPC gets the S3 and DynamoDB gateway endpoints on day one — free, and they cut NAT bills. Private-only VPCs add interface endpoints for ECR, STS, CloudWatch Logs and Secrets Manager, sometimes shared from one central VPC to save the hourly cost.

On a real account (needs the AWS CLI and credentials; IDs are examples):

aws ec2 create-vpc-endpoint --vpc-id vpc-0123456789abcdef0 --vpc-endpoint-type Gateway \
    --service-name com.amazonaws.ap-south-1.s3 \
    --route-table-ids rtb-0app000000000000a rtb-0data00000000000a
aws ec2 create-vpc-endpoint --vpc-id vpc-0123456789abcdef0 --vpc-endpoint-type Interface \
    --service-name com.amazonaws.ap-south-1.ecr.api \
    --subnet-ids subnet-0a subnet-0b subnet-0c --security-group-ids sg-0endpoints00000a \
    --private-dns-enabled
aws ec2 describe-prefix-lists --query 'PrefixLists[].[PrefixListId,PrefixListName]' --output table

⏭️ Next

The interface endpoint worked because a name turned into a private address. Who answers those names? DNS inside the VPC — the campus phone book.

git checkout lesson-08-dns

← Previoussg vs nacl Next →dns

This page is the lesson's README from the lesson-07-endpoints branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.