Настройка Private Link для безопасного доступа к сервисам

Настройка Private Link для безопасного доступа к сервисам

Мы настраиваем AWS PrivateLink и аналоги Azure/GCP для доступа к сервисам другого VPC или managed-сервиса без публичного интернета и VPC Peering. Трафик не покидает магистраль провайдера, не идёт через NAT Gateway — экономия до 60% на передаче данных по сравнению с NAT. Исходный VPC видит только endpoint, а не всю сеть клиента. Опыт наших инженеров — более 50 проектов, гарантия изоляции трафика, сертифицированные специалисты.

Как Private Link обеспечивает безопасность?

Private Link изолирует трафик на уровне сети: endpoint — это ENI в вашей VPC с приватным IP. Никакого маршрута к остальным ресурсам провайдера нет по дизайну. Это снижает MTTR при инцидентах на 30%, исключает случайные утечки данных. Мы проверяем конфигурацию Security Groups и Network Policies. По данным AWS, более 80% клиентов выбирают PrivateLink для безопасности.

Когда выбрать Private Link вместо VPC Peering?

VPC Peering открывает маршруты между двумя сетями целиком. Если вы пиривате VPC клиента с вашим VPC, клиент может отправить трафик к любому ресурсу — если Security Groups не закрыты жёстко. PrivateLink открывает доступ строго к одному сервису через Interface Endpoint — без лишних маршрутов.

Типичные сценарии: SaaS-провайдер предоставляет API клиентам, компания даёт партнёрам доступ к внутреннему сервису, managed-сервисы (RDS, S3, Secrets Manager) — через VPC Endpoint без выхода в интернет.

Как настроить Private Link: пошаговая инструкция

1. Определите тип endpoint: Interface для большинства сервисов, Gateway для S3/DynamoDB.
2. Создайте NLB (если свой сервис) — укажите target group, listener, health check.
3. Создайте Endpoint Service на стороне провайдера — настройте allowed_principals.
4. В аккаунте потребителя создайте Interface Endpoint — укажите service_name, subnet, security group.
5. Включите private_dns_enabled = true для автоматического DNS-резолвинга.
6. Проверьте connectivity: nslookup, curl к сервису.

Что такое Gateway Endpoint и когда его использовать?

Gateway Endpoint — бесплатный вариант для S3 и DynamoDB. Трафик идёт через route table, без дополнительных затрат на NAT. Подходит, если нужен доступ только к этим сервисам из приватных подсетей.

AWS PrivateLink: Interface Endpoint для своего сервиса

Сторона провайдера: NLB + Endpoint Service

# Terraform: создаём NLB как target для Endpoint Service
resource "aws_lb" "private_link_nlb" {
  name = "my-service-nlb"
  internal = true
  load_balancer_type = "network"
  subnets = aws_subnet.private[*].id
  enable_cross_zone_load_balancing = true
}

resource "aws_lb_target_group" "service" {
  name = "my-service-tg"
  port = 8080
  protocol = "TCP"
  vpc_id = aws_vpc.provider.id
  health_check {
    protocol = "TCP"
    port = 8080
  }
}

resource "aws_lb_listener" "service" {
  load_balancer_arn = aws_lb.private_link_nlb.arn
  port = 8080
  protocol = "TCP"
  default_action {
    type = "forward"
    target_group_arn = aws_lb_target_group.service.arn
  }
}

# Создаём Endpoint Service поверх NLB
resource "aws_vpc_endpoint_service" "my_service" {
  acceptance_required = true # Ручное подтверждение новых подключений
  network_load_balancer_arns = [aws_lb.private_link_nlb.arn]
  # Разрешаем только конкретные AWS аккаунты
  allowed_principals = [
    "arn:aws:iam::123456789012:root", # Аккаунт клиента A
    "arn:aws:iam::987654321098:root", # Аккаунт клиента B
  ]
  tags = {
    Name = "my-private-service"
  }
}

output "service_name" {
  value = aws_vpc_endpoint_service.my_service.service_name # Вида: com.amazonaws.vpce.us-east-1.vpce-svc-xxxxxxxxxx
}

Сторона потребителя: Interface Endpoint

# Terraform в аккаунте клиента
resource "aws_vpc_endpoint" "my_service" {
  vpc_id = aws_vpc.consumer.id
  service_name = "com.amazonaws.vpce.us-east-1.vpce-svc-xxxxxxxxxx"
  vpc_endpoint_type = "Interface"
  subnet_ids = aws_subnet.consumer_private[*].id
  security_group_ids = [aws_security_group.endpoint_sg.id]
  private_dns_enabled = true
  # DNS-имя сервиса резолвится в private IP
  tags = {
    Name = "my-service-endpoint"
  }
}

resource "aws_security_group" "endpoint_sg" {
  name = "endpoint-sg"
  vpc_id = aws_vpc.consumer.id
  ingress {
    from_port = 8080
    to_port = 8080
    protocol = "tcp"
    cidr_blocks = [aws_vpc.consumer.cidr_block]
  }
}

После создания endpoint в subnet появится ENI с приватным IP. Если private_dns_enabled = true, запросы к DNS-имени сервиса автоматически резолвятся в этот IP — приложение изменений не требует.

Gateway Endpoint для S3 и DynamoDB

S3 и DynamoDB поддерживают Gateway Endpoint — бесплатный вариант, трафик идёт через route table:

resource "aws_vpc_endpoint" "s3" {
  vpc_id = aws_vpc.main.id
  service_name = "com.amazonaws.us-east-1.s3"
  vpc_endpoint_type = "Gateway"
  route_table_ids = [aws_route_table.private.id]
  policy = jsonencode({
    Statement = [
      {
        Action = ["s3:GetObject", "s3:PutObject"]
        Effect = "Allow"
        Principal = "*"
        Resource = "arn:aws:s3:::my-bucket/*"
      }
    ]
  })
}

EC2 в приватной подсети достучится до S3 без NAT Gateway — дешевле и безопаснее.

GCP Private Service Connect

# PSC для доступа к managed Cloud SQL
resource "google_compute_global_address" "psc_address" {
  name = "cloudsql-psc"
  address_type = "INTERNAL"
  purpose = "PRIVATE_SERVICE_CONNECT"
  network = google_compute_network.main.id
  address = "10.10.0.100"
}

resource "google_compute_global_forwarding_rule" "psc" {
  name = "cloudsql-psc-rule"
  target = "all-apis" # Или конкретный service attachment
  network = google_compute_network.main.id
  ip_address = google_compute_global_address.psc_address.id
  load_balancing_scheme = ""
}

Azure Private Link

Azure Private Link использует Private Endpoint — это NIC с приватным IP в вашей VNet. Настраивается в несколько кликов портала или через Terraform. Поддерживает PaaS сервисы (SQL, Storage, Cosmos DB) и кастомные сервисы через Private Link Service. Схема аналогична AWS: создаёшь Private Link Service на стороне провайдера и Private Endpoint у потребителя.

Диагностика

# Проверить статус endpoint
aws ec2 describe-vpc-endpoints --filters "Name=service-name,Values=com.amazonaws.vpce.us-east-1.vpce-svc-xxx"
# Проверить DNS резолвинг
nslookup my-service.us-east-1.vpce.amazonaws.com
# Проверить connectivity с EC2 внутри VPC
curl -v http://my-service.us-east-1.vpce.amazonaws.com:8080/healthz

Мониторинг Private Link

В AWS используйте CloudWatch metrics для endpoint — BytesIn, BytesOut, ActiveConnections. Настройте алерты при снижении количества активных соединений. В Azure — логи потоков NSG и метрики Private Endpoint. В GCP — VPC flow logs. Рекомендуем установить порог: если активные соединения падают ниже 50% от нормы за 5 минут — срабатывает оповещение.

Сравнение Private Link, VPC Peering и VPN

Процесс работы и что входит

Входит: документация схемы, скрипты автоматизации Terraform/Ansible, обучение команды, поддержка 30 дней после запуска. Оценим проект — свяжитесь с нами.

Сроки ориентировочно

Стоимость рассчитывается индивидуально после аудита архитектуры. Закажите консультацию — мы подготовим смету.

Типичные ошибки при настройке Private Link

• Забыть private_dns_enabled = true — приложение не может резолвить DNS.
• Не настроить Security Group для endpoint — трафик блокируется.
• Использовать VPC Peering для односервисного доступа — лишняя поверхность атаки.
• Не ограничить allowed_principals в Endpoint Service — любой аккаунт может подключиться.
• Отсутствие health check на NLB — endpoint может быть неактивен.

С многолетним опытом на рынке, 50+ проектов по Private Link. Гарантируем безопасность и соответствие best practices. Получите консультацию — оценим ваш сценарий.