S3 şlüz son nöqtəsi və interfeys son nöqtəsi: yerli şəbəkədən giriş üçün seçim

İki S3 son nöqtəsi növü dizayn baxışında bir-birini əvəz edə bilən görünür, lakin müştəri sahədən kənarda qaldıqda tamamilə fərqli davranır. Şlüz son nöqtəsi VPC daxilində marşrut cədvəlinə inteqrasiyadır, buna görə sayt VPN-dən gələn sorğu ona heç vaxt şəxsi təyinat kimi çatmır. İnterfeys son nöqtəsi şəxsi ünvanları şəbəkə interfeyslərinə qoyur, hibrid yolun həqiqətən çata bildiyi şey budur. Bundan sonra hər şey bu ikisindən hansını seçdiyinizdən asılıdır.

Xidmət adına görə deyil, şəbəkə girişinə görə qərar verin

Trafikin yarandığı yerdən başlayın, çünki son nöqtə növünün cavablandırdığı sual budur. Dəstəklənən VPC kontekstindəki iş yükü şlüz son nöqtəsindən istifadə edə bilər və heç vaxt öz şəxsi ünvanına ehtiyac duymaz. Yerli məkandakı iş yükü marşrutlaşa biləcəyi şəxsi ünvana ehtiyac duyur və interfeys son nöqtəsi məhz bunu təmin edir. Dizayn hər ikisini qarışdırırsa, iki son nöqtə növü bir VPC-də birlikdə mövcud ola bilər və bu, təkrarlama deyil, normal bir tənzimləmədir.

Onları qarışdırmaq problem deyil. Bir növün digərini əhatə etdiyini güman etmək problemdir.

Nəyisə seçməzdən əvvəl müştərini təsnif edin. VPC daxilindəki iş sahəsi, NAT şlüzü arxasındakı konteyner və filialdakı tətbiq üç fərqli mənbədir və yalnız sonuncusu hibrid girişi məcburi edir. Bu təsnifatı son nöqtə inventarının yanına yazın ki, növbəti baxış hər son nöqtənin niyə mövcud olduğunu görsün.

İnterfeys yolunun başdan-başa tələb etdiyi şeylər

İnterfeys son nöqtəsi şəxsi ünvanlara çatmaq imkanı verir və bu imkan dörd tələbdən yalnız biridir. Yerli şəbəkəyə həmin ünvanlara marşrut lazımdır, VPC tərəfinə qayıdış yolu lazımdır, son nöqtənin təhlükəsizlik qrupu mənbə diapazonunu qəbul etməlidir və ikisi arasındakı hər hansı yoxlama cihazı axına icazə verməlidir. VPC-dəki hər hansı instansiyaya marşrut bu dörd tələbdən heç birini sübut etmir.

Uzaq tərəfdən geriyə doğru işləyin. Son nöqtənin şəbəkə interfeyslərinin gözlədiyiniz alt şəbəkələrdə olduğunu təsdiqləyin, sonra onun təhlükəsizlik qrupunun yer tutucu deyil, real yerli diapazonu qəbul etdiyini yoxlayın. Daha sonra tunel və ya dövrənin qayıdış yolunu eyni istiqamətdə daşıdığını yoxlayın. Yoxlama insanların atladığı addımdır, çünki bağlantıya icazə verən ara qutu yenə də daha böyük cavab gövdəsini atmaq bilər və bu, siyasət problemi deyil, ötürmə qabiliyyəti problemi kimi görünür.

Böyük yükləmə yerinə mövcud olan ən kiçik icazəli əməliyyatla sınayın. Uğursuzluq daha tez və izah edilməli daha az trafiklə üzə çıxır.

DNS VPC-yə deyil, sorğu mənbəyinə uyğun gəlir

Mövcud olan son nöqtə özü heç nəyi yönləndirmir. Tətbiq öz həlledicisinin qaytardığı adı alır və həlledici ona icazə verilən görünüşə uyğun cavab verir. VPC daxilindəki instansiya və ofisdəki noutbuk iki fərqli sual verir və hər ikisi düzgün, fərqli cavablar ala bilər. Birini yoxlayıb digəri haqqında nəticə çıxarmaq, keçən testi uğursuz yerləşdirməyə çevirir.

Son nöqtənin şəxsi DNS parametrini dizaynın hissəsi kimi oxuyun, işə salındıqdan sonra aktivləşdiriləcək onay qutusu kimi deyil.

Ofis həlledicisi VPC-nin görünüşünü görməlidirsə, bu yol qəsdən qurulmalıdır, adətən gələn həlledici son nöqtəsi vasitəsilə. Tətbiqin öz kontekstindən sorğu göndərin və hansı həlledicinin cavab verdiyini qeyd edin. VPC daxilindəki bastion hostunda toplanan nəticə yalnız bastionun görünüşünü təsvir edir.

İcazə çatmaq imkanından ayrıdır

Əlçatan son nöqtə, subyektin etməyə icazəsi olmayan sorğular üçün xətalar qaytarır və bu xəta sistemin dizayn edildiyi kimi işlədiyini bildirir. Kimlik siyasəti, vedrə siyasəti və hər hansı son nöqtə siyasəti öz qatlarında qiymətləndirilir. Şəbəkə girişi heç vaxt icazə verməmişdir.

Dizaynı iki nəticə ilə qəbul edin: uğurla tamamlanan zərərsiz icazəli çağırış və xaric edilmiş kimlik və ya vedrə üçün gözlənilən rədd.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Hər nəticənin yanında son nöqtənin adını, həll edilmiş təyinatı və siyasət kontekstini qeyd edin, çünki sonrakı bir DNS dəyişikliyi bütün nəticəni etibarsız edə bilər. Bir şey təmin etməzdən əvvəl hər iki son nöqtə növünün cari dəyərini və əməliyyat yükünü müqayisə edin. İnterfeys son nöqtəsi hibrid şəxsi giriş alır, bu universal tələb deyil və şlüz yolu çox vaxt VPC daxilindəki iş yükləri üçün daha yaxşı cavab olaraq qalır. Seçim hər müştəri üçündür və yenidən baxıla bilən olaraq qalır.