Bài viết này do AI tạo ra, có thể mắc sai sót.
AWS vừa bổ sung Tunnel Endpoints cho PrivateLink, cho phép bên được cấp quyền đi riêng vào một dải mạng trong VPC của tổ chức khác bằng VPC endpoint và đóng gói GENEVE. Thay đổi này nhắm tới tình huống cần cấp truy cập private theo vùng CIDR, thay vì phải tạo một Resource Configuration cho từng tài nguyên.
PrivateLink vốn cung cấp truy cập private, có tính sẵn sàng và khả năng mở rộng giữa VPC hoặc account. Trước đây, khi cho một bên ngoài truy cập nhiều tài nguyên, đội vận hành thường phải tạo Resource Configuration riêng cho từng database, appliance hay dịch vụ. Tunnel Endpoints thay đổi đơn vị chia sẻ từ từng tài nguyên sang một đoạn mạng được xác định bằng CIDR.
Chủ VPC tạo Resource Configuration đại diện cho CIDR, sau đó dùng AWS Resource Access Manager để chia sẻ quyền. Bên đối tác tạo Tunnel Endpoint tại phía của họ và dùng GENEVE để chuyển traffic qua tunnel tới đúng segment được cấp. Đây không phải mở public Internet; luồng truy cập vẫn đi theo mô hình private connectivity của PrivateLink.
Mô hình hữu ích khi một nhà cung cấp quản trị nhiều máy hoặc appliance trong mạng khách hàng, nhưng khách hàng không muốn dựng endpoint riêng cho từng địa chỉ. Nó cũng hợp với môi trường nhiều account, nơi đội platform cần cấp đường truy cập hẹp cho nhóm vận hành mà không trao quyền rộng toàn VPC.
Điểm quan trọng là CIDR được chia sẻ phải được thiết kế kỹ. Dải quá rộng làm tăng blast radius nếu policy hoặc route cấu hình sai; dải quá hẹp lại quay về bài toán quản trị nhiều cấu hình. Nên tách subnet theo workload, áp dụng least privilege qua RAM và kiểm tra cả security group, NACL, route table ở hai đầu.
AWS công bố tính năng tại nhiều Region, gồm Singapore, Tokyo, Seoul, Jakarta, Hong Kong, Mumbai, Sydney; cùng các Region tại Mỹ, châu Âu, Canada, châu Phi và Nam Mỹ. Mỗi Tunnel Endpoint có phí theo giờ, cộng thêm phí dữ liệu theo GB. Đội FinOps cần đưa endpoint mới vào tagging, cost allocation và cảnh báo dữ liệu để tránh tunnel trở thành đường truyền không được theo dõi.
Tunnel Endpoints lấp khoảng trống giữa PrivateLink theo từng resource và nhu cầu kết nối private theo segment. Với doanh nghiệp có nhiều vendor hoặc nhiều account, việc giảm số lượng cấu hình có thể làm quy trình onboarding nhanh hơn và giảm lỗi thao tác.
Đổi lại, network team phải coi CIDR share như một boundary bảo mật mới. GENEVE chỉ là cơ chế đóng gói; kiểm soát thực tế vẫn nằm ở phạm vi CIDR, IAM/RAM, rule mạng và quan sát traffic. Triển khai tốt nhất là bắt đầu bằng subnet hẹp, workload rõ ràng, rồi mới mở rộng sau khi có log và baseline chi phí.
AWS What's New, 18/09/2026.
