两种 VPC endpoint 只有在 S3 和 DynamoDB 上才有得选，其余服务只有 interface 一种。一个靠路由表里的 prefix list 生效，一个靠子网里的 ENI 和私有 DNS，分界在请求来源和客户端连的名字上。

私有子网的默认路由指向 NAT 之后，钱会从三个地方漏出去：没人用的网关一直计小时费，S3 和 ECR 镜像层绕公网按 GB 收费，SaaS 的公网域名让 peering 闲着。三笔各自的成因、对应解法和回本点。