Comunicación entre servicios: PrivateLink, VPC Lattice y Service Connect

Unir dos VPC con peering o Transit Gateway conecta redes completas: cualquier IP de un lado puede intentar hablar con cualquiera del otro. Muchas veces solo necesitas que el servicio de pagos llame al de facturación, con autenticación y métricas. Conectar servicios en lugar de redes reduce lo que expones.

Conectar redes o conectar servicios

Peering y Transit Gateway, vistos en Conectar redes, trabajan en capa 3: piden rangos que no se solapen y el control queda en Security Groups y NACL. PrivateLink y VPC Lattice publican un servicio concreto: el consumidor no ve la red del proveedor y los rangos pueden repetirse. ECS Service Connect resuelve lo mismo dentro del mundo de Amazon ECS.

PrivateLink: la ventanilla privada

Con AWS PrivateLink, el proveedor pone su servicio detrás de un Network Load Balancer y crea un endpoint service. El consumidor crea un interface endpoint en su VPC: una interfaz con IP privada de su propio rango. El tráfico va en un solo sentido, del consumidor al proveedor.

• Funciona entre cuentas y con CIDR solapados, porque ninguno ve la red del otro.
• El proveedor decide qué cuentas pueden conectarse y si acepta cada conexión a mano.
• Puede publicar un nombre DNS privado propio, como api.proveedor.example.
• Desde noviembre de 2024 un interface endpoint puede llegar a un endpoint service de otra región.

Es el modelo de los SaaS que venden por AWS Marketplace y de los equipos de plataforma que ofrecen una API interna a cientos de cuentas. Su límite: cada servicio es un endpoint service, y cada consumidor crea un endpoint por servicio.

Amazon VPC Lattice

Lattice agrupa muchos servicios en una service network. Asocias a ella servicios y VPC consumidoras; desde cualquier VPC asociada, un cliente llama al servicio por su nombre DNS y Lattice hace el resto.

• Servicio: listeners (HTTP, HTTPS o TLS, con soporte para gRPC), reglas de enrutamiento por ruta, cabecera o método, y target groups. Los destinos pueden ser instancias EC2, IP, funciones Lambda, Application Load Balancers, tareas de ECS y pods de Kubernetes.
• Auth policies: políticas de IAM en la service network y en cada servicio. Por ejemplo: solo el rol del servicio de pagos puede hacer POST en /facturas. Los clientes firman sus peticiones con SigV4.
• Entre cuentas: compartes la service network o los servicios con AWS RAM. Los CIDR solapados no importan.
• Resource configurations: exponen recursos TCP, como una base de datos RDS, a través de la service network.
• Observabilidad: métricas por servicio y registros de acceso de cada petición en CloudWatch Logs, S3 o Firehose.

Qué resuelve una malla de servicios

Con decenas de microservicios, cada equipo termina programando lo mismo: encontrar al otro servicio, reintentar, cortar llamadas lentas, cifrar y medir. Una malla de servicios (service mesh) saca ese trabajo del código y lo pone en la red, casi siempre en un proxy junto a cada servicio:

• Descubrimiento: llamas a facturacion y la malla sabe qué instancias están sanas.
• Resiliencia: reintentos, tiempos de espera y sacar del grupo a una instancia que falla.
• Seguridad: mTLS, es decir, cifrado y autenticación de ambos lados.
• Observabilidad: latencia, errores y volumen por cada par de servicios.
• Despliegues: mandar el 10 % del tráfico a la versión nueva.

Amazon ECS Service Connect es la opción integrada para ECS. Usa un namespace de AWS Cloud Map, inyecta un proxy administrado en cada tarea y da nombres cortos, reintentos, detección de instancias con fallas, métricas en CloudWatch y TLS con AWS Private CA. No tienes que operar el proxy, pero solo conecta servicios de ECS.

Cuál elegir

Criterio	VPC Peering	Transit Gateway	PrivateLink	VPC Lattice	ECS Service Connect
Conecta	Dos redes	Muchas redes y la oficina	Un servicio hacia consumidores	Muchos servicios entre sí	Servicios de ECS
CIDR solapados	No	No	Sí	Sí	No aplica: usa la red de la VPC
Transitivo	No	Sí	No aplica	No aplica	No aplica
Control de acceso	SG y NACL	SG, NACL y tablas del TGW	Permisos del endpoint service y SG	Auth policies de IAM y SG	SG; TLS opcional
Cómputo	Cualquiera	Cualquiera	Detrás de un NLB	EC2, IP, Lambda, ALB, ECS, EKS	Solo ECS
Observabilidad	Flow Logs	Flow Logs	Flow Logs y métricas del NLB	Métricas y logs por petición	Métricas por servicio en CloudWatch

Los contenedores están en Contenedores y Contenedores a escala; los balanceadores, en Balanceadores de carga.