कई VPC में एक VPC Endpoint साझा करना: संपूर्ण आर्किटेक्चर और कार्यान्वयन गाइड

🗺️ मुख्य टोपोलॉजी

                         AWS SERVICES
                               ▲
                               │
                         PrivateLink
                               │
             ┌──────────────────────────┐
             │ NETWORK ACCOUNT          │
             │ Central Endpoint VPC     │
             │                          │
             │ AZ-A             AZ-C    │
             │ VPCE ENI         VPCE ENI│
             │                          │
             │ SSM / KMS / STS / ECR    │
             │ Secrets / CloudWatch     │
             │ SNS / SQS / EC2 API      │
             │ Route 53 Profile         │
             └────────────┬─────────────┘
                          │
                    Transit Gateway
               ┌──────────┼───────────┐
               │          │           │
             PROD        DEV         TEST
               │          │           │
            VPC-A       VPC-B       VPC-C
               │          │           │
        S3 Gateway   S3 Gateway   S3 Gateway
        DDB Gateway  DDB Gateway  DDB Gateway

🧰 चार मुख्य सेवाएँ

• AWS PrivateLink / Interface VPC Endpoint: Application VPC से Regional AWS services तक निजी कनेक्शन देता है।
• AWS Transit Gateway: Endpoint VPC को कई VPC से जोड़ता है और TGW Route Table से पहुँच नियंत्रित करता है।
• Route 53 Profiles: Interface Endpoint का Private DNS एक जगह प्रबंधित करके कई VPC से जोड़ता है।
• AWS RAM: Transit Gateway और Route 53 Profile को कई AWS accounts में साझा करता है।

🏢 On-premises डेटा सेंटर होने पर

स्थानीय नेटवर्क VPN या Direct Connect से AWS तक आता हो, तो Route 53 Resolver Inbound Endpoint जोड़ें। इससे corporate DNS, AWS service names को Resolver के पास forward कर सकता है। किसी VPC के “CIDR + 2” Resolver address को सीधे query न करें।

1️⃣ समर्पित Endpoint VPC बनाएँ

• Network या Shared Services account में Endpoint-VPC बनाएँ। उदाहरण में 10.100.0.0/16 उपयोग किया गया है।
• प्रोडक्शन में कम-से-कम दो AZ रखें—जैसे AZ-a में 10.100.10.0/24 और AZ-c में 10.100.20.0/24—और हर AZ में Endpoint Subnet बनाएँ।
• Interface Endpoint हर चुनी गई Endpoint Subnet में ENI बनाता है। दो AZ का डिज़ाइन एक AZ की विफलता का असर घटाता है।
• साझा Endpoint को किसी सामान्य Application VPC में न रखें, वरना network ownership, permission boundary और incident response एक workload से जुड़ जाते हैं।

2️⃣ Transit Gateway या VPC Peering जोड़ें

• एक केंद्रीय Transit Gateway बनाएँ और Endpoint VPC, VPC-A, VPC-B तथा VPC-C के VPC attachment जोड़ें।
• Multi-account वातावरण में AWS RAM से TGW साझा करें; Application accounts अपने attachment बनाएँ या स्वीकार करें।
• सिर्फ दो या तीन Application VPC हों तो हर VPC को सीधे Endpoint VPC से peer करके एक अतिरिक्त network layer और TGW लागत बचाई जा सकती है।
• Peering transitive नहीं है। VPC बढ़ने पर connection और route table का फैलाव TGW के hub-and-spoke मॉडल को अधिक व्यावहारिक बनाता है।

3️⃣ Application VPC Route Table

Endpoint उपयोग करने वाली हर application subnet को Endpoint VPC CIDR, TGW की ओर भेजना होगा। VPC-A का उदाहरण:

Destination       Target
10.1.0.0/16       local
10.100.0.0/16     tgw-xxxx

VPC-B और VPC-C भी 10.100.0.0/16 को TGW पर भेजेंगी। Peering हो तो target में संबंधित Peering Connection होगा।

4️⃣ Endpoint VPC में वापसी का route

Endpoint Subnet से जुड़ी Route Table को हर Application VPC तक वापस पहुँचना चाहिए:

10.100.0.0/16      local
10.1.0.0/16        tgw-xxxx
10.2.0.0/16        tgw-xxxx
10.3.0.0/16        tgw-xxxx

आने और जाने, दोनों route जरूरी हैं। Return route न हो तो TCP SYN जाता है, SYN/ACK वापस नहीं आता और connection timeout हो जाता है।

5️⃣ TGW Route Table

• Application VPC से संबंधित route, 10.100.0.0/16 को Endpoint VPC attachment की ओर भेजे।
• Endpoint VPC की ओर से 10.1.0.0/16, 10.2.0.0/16 और 10.3.0.0/16 अपने-अपने VPC attachment पर जाएँ।
• Route propagation या static route, दोनों इस्तेमाल हो सकते हैं। कड़ी segmentation के लिए कई TGW Route Table रखकर propagation स्पष्ट रूप से नियंत्रित करें।

6️⃣ Endpoint VPC में service endpoint बनाएँ

• VPC → Endpoints → Create endpoint खोलें और Regional service चुनें; Tokyo में Systems Manager के लिए com.amazonaws.ap-northeast-1.ssm।
• VPC में Endpoint-VPC और subnet में endpoint-subnet-a तथा endpoint-subnet-c चुनें।
• Route 53 Profiles डिज़ाइन में Private DNS को Enabled रखें। SDK और CLI standard service names इस्तेमाल करते हुए PrivateLink के private address तक पहुँचेंगे।
• सिर्फ वही Endpoint बनाएँ जिनकी workload को जरूरत है। हर Interface Endpoint AZ-hour और data-processing cost जोड़ता है।

📦 सामान्य केंद्रीकृत Endpoint

• Systems Manager: SSM, SSM Messages और EC2 Messages।
• मुख्य सेवाएँ: EC2 API, KMS, Secrets Manager, STS, Lambda और EventBridge।
• Monitoring और messaging: CloudWatch, CloudWatch Logs, SNS और SQS।
• Container और delivery: ECR API, ECR DKR, ECS और CodeArtifact।
• Application access: API Gateway का execute-api और अन्य PrivateLink समर्थित सेवाएँ।

7️⃣ Endpoint Security Group

• Endpoint ENI के लिए sg-vpce-central जैसा समर्पित Security Group बनाएँ।
• Inbound HTTPS TCP 443 केवल आवश्यक Application CIDR से दें, जैसे 10.1.0.0/16, 10.2.0.0/16 और 10.3.0.0/16।
• प्रोडक्शन में 0.0.0.0/0 की अनुमति न दें। संगठन, environment, sensitivity या dedicated endpoint के अनुसार source सीमित करें।
• Security Group stateful है, फिर भी instance egress rules, NACL और intermediate appliance में TCP 443 तथा return traffic की अनुमति जरूरी है।

8️⃣ Endpoint Policy

• Endpoint Policy तय करती है कि इस entry point से कौन-सा principal कौन-सा service action कर सकता है। Full access connectivity test के लिए ठीक है, स्थायी production default के लिए नहीं।
• KMS Endpoint को मंजूर account, IAM role और KMS key तक सीमित किया जा सकता है। अन्य सेवाओं में समर्थित condition keys और resource constraints लगाएँ।
• अंतिम authorization, Endpoint Policy, IAM Policy, SCP, Resource Policy और bucket या key policy के संयुक्त परिणाम से तय होता है।
• ज्यादा VPC साझा करने पर least-privilege policy जटिल होती जाती है और document size limit भी लागू रहती है। जरूरत हो तो environment या trust boundary के अनुसार Endpoint बाँटें।

🧭 Account की जिम्मेदारियाँ

AWS Organizations

Network Account
├ Endpoint VPC
├ Transit Gateway
└ Route 53 Profile

Production Account
├ VPC-A
└ VPC-B

Development Account
├ VPC-C
└ VPC-D

Security Account
└ VPC-E

• Network Account, AWS RAM से Route 53 Profile को उसी Region के Production, Development और Security accounts में साझा करता है।
• हर account अपनी VPC को shared Profile से जोड़ता है और हर service/VPC के लिए अलग Private Hosted Zone बनाए बिना केंद्रीय DNS उपयोग करता है।
• यह AWS Organizations, Control Tower और Landing Zone के अनुकूल है: network team VPCE, DNS, TGW और logs संभालती है; application team compute और workload resources संभालती है।

① DNS resolution

VPC-A में 10.1.10.50 वाला EC2 जब Secrets Manager call करता है, SDK secretsmanager.ap-northeast-1.amazonaws.com lookup करता है। Route 53 Resolver और जुड़ा Profile केंद्रीय VPCE के private address लौटाते हैं।

EC2 → Route 53 Resolver → Route 53 Profile
    → VPCE Private DNS → 10.100.10.25 / 10.100.20.25

② नेटवर्क पथ

10.1.10.50
    │ HTTPS 443
    ▼
VPC-A Route Table
    ▼
Transit Gateway
    ▼
Endpoint VPC
    ▼
VPCE ENI 10.100.10.25
    ▼
AWS PrivateLink
    ▼
Secrets Manager

AWS service तक यह रास्ता निजी रहता है और NAT Gateway या Internet Gateway की जरूरत नहीं होती। Request को network controls और identity authorization, दोनों पास करने होंगे।

• ECS, EKS या EC2 से ECR image pull करने के लिए केवल ecr.api पर्याप्त नहीं; सामान्यतः ecr.dkr भी चाहिए।
• Container image layers S3 में रहते हैं, इसलिए दोनों ECR Interface Endpoint होने के बाद भी pull विफल हो सकता है।
• सामान्य डिज़ाइन ECR API और ECR DKR को केंद्रीकृत करता है और हर Application VPC में S3 Gateway Endpoint बनाता है।
• समस्या होने पर DNS, दोनों ECR Endpoint, S3 Gateway Endpoint, routes, Security Group और task/instance की IAM permission जाँचें।

आज भी काम करने वाला तरीका

• केंद्रीय Interface Endpoint पर Private DNS बंद करें।
• ssm.ap-northeast-1.amazonaws.com जैसे service name से मिलती Route 53 Private Hosted Zone हाथ से बनाएँ।
• VPCE की ओर A Alias Record बनाएँ और PHZ को Endpoint VPC तथा सभी Application VPC से जोड़ें।

नए वातावरण में पहली पसंद क्यों नहीं

• 30 Endpoint और 100 VPC में manual PHZ association बहुत बड़ा management matrix बनाती है।
• Route 53 Profiles सभी केंद्रीय VPCE को एक बार जोड़कर वही configuration कई VPC पर लागू करता है, जिससे hosted zone, record और association घटते हैं।
• मौजूदा system या विशेष DNS जरूरत में पुराना तरीका उपयोगी है; नए deployment में पहले Route 53 Profiles का मूल्यांकन करें।

केंद्रीकृत लागत के घटक

• Transit Gateway attachment का hourly charge।
• Transit Gateway data processing charge।
• हर deployed AZ में Interface Endpoint का hourly charge।
• PrivateLink data processing और संभव cross-AZ या cross-Region transfer charge।

कब बचत की संभावना अधिक है

बहुत-सी VPC, बहुत-से आवश्यक Endpoint और हर VPC में अपेक्षाकृत कम traffic होने पर केंद्रीकरण अधिक लाभ देता है। 50 VPC, 20 services और 2 AZ में वितरित मॉडल 2,000 Endpoint ENI बना सकता है, जबकि केंद्रीकृत मॉडल में लगभग 40 होंगे; TGW की लागत फिर भी जोड़नी होगी।

अधिक traffic का अलग हिसाब करें

यदि एक VPC से रोज कई TB S3 traffic आता है, उसे TGW से S3 Interface Endpoint तक भेजना महँगा पड़ सकता है। Local S3 Gateway Endpoint बेहतर है। AWS कीमतें Region और समय के साथ बदलती हैं, इसलिए वर्तमान Regional pricing से बजट बनाएँ और सभी राशियों की तुलना भारतीय रुपये में करें।

1–3 VPC

• हर VPC में Endpoint सबसे सरल डिज़ाइन और मजबूत isolation देता है।
• संख्या घटानी हो तो Peering + Route 53 Profile + छोटा Central Endpoint VPC अपनाएँ।
• सिर्फ कुछ Endpoint साझा करने के लिए TGW सामान्यतः जरूरी नहीं।

5–20 VPC

• Endpoint VPC + TGW + Route 53 Profiles का गंभीरता से मूल्यांकन करें।
• दोहराए गए fixed charges, TGW charge और वास्तविक traffic की तुलना करें।
• High-volume या मजबूत isolation workload के लिए dedicated Endpoint रखकर hybrid मॉडल बनाएँ।

20 से सैकड़ों VPC

• Network Account में TGW या Cloud WAN, Endpoint VPC, Profiles, Resolver, Network Firewall और DNS Firewall केंद्रीकृत होते हैं।
• Infrastructure as code, standard tags, logs, monitoring और change control से Endpoint तथा account associations प्रबंधित करें।
• एक central stack पर पूरी निर्भरता से बचने के लिए Region, environment और trust boundary के अनुसार विभाजन करें।

1. DNS: dig ssm.ap-northeast-1.amazonaws.com चलाकर देखें कि public IP के बजाय 10.100.x.x जैसा VPCE private address आए।
2. Spoke VPC Route Table: Endpoint VPC CIDR, TGW या Peering की ओर हो।
3. TGW Route Table: Application VPC से Endpoint VPC तक जाने और लौटने के route जाँचें।
4. Endpoint VPC Route Table: Endpoint Subnet से सभी Application VPC तक return path जाँचें।
5. VPCE Security Group: Application CIDR से TCP 443 की अनुमति देखें।
6. NACL: inbound, outbound और ephemeral ports जाँचें।
7. Endpoint Policy: principal, action और resource deny न हों।
8. IAM / Resource Policy / SCP: अंत में identity, resource और organization-level controls जाँचें।

“Name resolution → routing → network controls → authorization” के क्रम में जाँच करने से console के अलग-अलग पन्नों पर अनुमान लगाने की तुलना में कारण जल्दी मिलता है।