S3-poortweg teenoor koppelvlak-eindpunt vir toegang van buite die perseel

Twee tipes S3-eindpunte lyk in ’n ontwerphersiening uitruilbaar en gedra hulle heeltemal anders sodra die kliënt buite die perseel sit. ’n Poortweg-eindpunt is ’n integrasie met die roetetabel binne ’n VPC, dus bereik ’n versoek van ’n perseel-VPN dit nooit as ’n private bestemming nie. ’n Koppelvlak-eindpunt plaas private adresse op netwerkkoppelvlakke, wat ’n hibriede pad werklik kan bereik. Alles wat volg hang daarvan af watter van die twee jy gekies het.

Besluit volgens die netwerktoegang, nie die diensnaam nie

Begin by waar die verkeer ontstaan, want dit is die vraag wat die eindpunt-tipe beantwoord. ’n Werklading in ’n ondersteunde VPC-konteks kan ’n poortweg-eindpunt gebruik en het nooit ’n eie private adres nodig nie. ’n Werklading op die perseel het ’n private adres nodig waarheen dit kan roeteer, en dit is wat ’n koppelvlak-eindpunt bied. As ’n ontwerp albei meng, kan albei eindpunt-tipes in een VPC saam bestaan, en dit is ’n normale reëling eerder as duplisering.

Om hulle te meng is nie die probleem nie. Om te aanvaar dat een tipe die ander dek, is.

Klassifiseer die kliënt voordat jy enigiets kies. ’n Werkruimte binne die VPC, ’n houer agter ’n NAT-poortweg en ’n toepassing in ’n takkantoor is drie verskillende bronne, en net die laaste een dwing die hibriede toegang af. Skryf daardie klassifikasie langs die eindpunt-inventaris sodat die volgende keurder sien waarom elke eindpunt bestaan.

Wat die koppelvlak-pad van begin tot end vereis

’n Koppelvlak-eindpunt verleen bereikbaarheid na private adresse, en bereikbaarheid is net een van vier vereistes. Die perseelnetwerk het ’n roete na daardie adresse nodig, die VPC-kant het ’n terugpad nodig, die eindpunt se sekuriteitsgroep moet die bronreeks toelaat, en enige inspeksietoestel tussen die twee moet die vloei toelaat. ’n Roete na een of ander instansie in die VPC bewys nie een van die vier nie.

Werk van die verre end terug. Bevestig dat die eindpunt se netwerkkoppelvlakke in die subnetwerke bestaan wat jy verwag, en bevestig dan dat sy sekuriteitsgroep die werklike perseelreeks toelaat eerder as ’n plekhouer. Kyk daarna of die tonnel of stroombaan die terugpad in dieselfde rigting dra. Inspeksie is die stap wat mense oorslaan, want ’n middelkas wat die verbinding toelaat, kan steeds ’n groter antwoordliggaam laat val, en dit lyk soos ’n deurvoerprobleem eerder as ’n beleidsprobleem.

Toets met die kleinste gemagtigde bewerking wat beskikbaar is eerder as ’n groot aflaai. Die fout wys vinniger en met minder verkeer om te verklaar.

DNS volg die navraagbron, nie die VPC nie

’n Eindpunt wat bestaan, herlei nie op sigself enigiets nie. Die toepassing ontvang die naam wat sy oplosser teruggegee het, en die oplosser antwoord volgens die siening wat hy mag sien. ’n Instansie binne die VPC en ’n skootrekenaar in die kantoor vra twee verskillende vrae en kan albei korrekte, verskillende antwoorde kry. Om een te verifieer en uit die ander af te lei, is hoe ’n geslaagde toets ’n mislukte ontplooiing word.

Lees die eindpunt se private DNS-instelling as deel van die ontwerp, nie as ’n merkblokkie om ná die ingebruikneming te aktiveer nie.

As die kantooroplosser die VPC se siening moet sien, moet daardie pad doelbewus gebou word, gewoonlik deur ’n inkomende oplosser-eindpunt. Vra vanuit die toepassing se eie konteks en let op watter oplosser geantwoord het. ’n Resultaat wat op ’n bastion-gasheer binne die VPC ingesamel is, beskryf die bastion se siening en niks anders nie.

Toestemming is apart van bereikbaarheid

’n Bereikbare eindpunt gee foute vir versoeke wat die hoofrol nie mag maak nie, en daardie fout beteken die stelsel werk soos ontwerp. Identiteitsbeleid, emmerbeleid en enige eindpuntbeleid word in hul eie lae geëvalueer. Netwerktoegang het nog nooit ’n toestemming verleen nie.

Aanvaar die ontwerp op twee resultate: ’n onskadelike gemagtigde oproep wat slaag, en ’n verwagte weiering vir ’n uitgeslote identiteit of emmer.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Teken die eindpuntnaam, die opgeloste bestemming en die beleidskonteks langs elke resultaat aan, want een latere DNS-verandering kan die hele gevolgtrekking ongeldig maak. Vergelyk die huidige koste en bedryfsgewig van albei eindpunt-tipes voordat jy enigiets voorsien. ’n Koppelvlak-eindpunt koop ’n hibriede private toegang, dit is nie ’n universele vereiste nie, en die poortweg-pad bly dikwels die beter antwoord vir werklading binne die VPC. Die keuse is per kliënt en dit bly hersienbaar.