স্থানীয় নেটওয়ার্ক থেকে প্রবেশের জন্য S3 গেটওয়ে বনাম ইন্টারফেস এন্ডপয়েন্ট

দুটি S3 এন্ডপয়েন্ট টাইপ ডিজাইন রিভিউতে একে অপরের বদলি মনে হয়, কিন্তু ক্লায়েন্ট সাইটের বাইরে গেলেই এদের আচরণ সম্পূর্ণ আলাদা হয়ে যায়। গেটওয়ে এন্ডপয়েন্ট হলো VPC-এর ভেতরে রুট টেবিলের সাথে ইন্টিগ্রেশন, তাই সাইট VPN থেকে আসা কোনো অনুরোধ কখনো ব্যক্তিগত গন্তব্য হিসেবে সেখানে পৌঁছায় না। ইন্টারফেস এন্ডপয়েন্ট ব্যক্তিগত ঠিকানাগুলো নেটওয়ার্ক ইন্টারফেসে বসায়, যা একটি হাইব্রিড পথ সত্যিই পৌঁছাতে পারে। এর পরের সবকিছু নির্ভর করে আপনি এই দুটির মধ্যে কোনটি বেছেছেন তার উপর।

সার্ভিসের নামে নয়, নেটওয়ার্ক প্রবেশপথে সিদ্ধান্ত নিন

ট্রাফিক যেখানে শুরু হয় সেখান থেকেই শুরু করুন, কারণ এন্ডপয়েন্ট টাইপ ঠিক এই প্রশ্নের উত্তর দেয়। সমর্থিত VPC প্রসঙ্গে থাকা ওয়ার্কলোড গেটওয়ে এন্ডপয়েন্ট ব্যবহার করতে পারে এবং কখনো নিজের ব্যক্তিগত ঠিকানা দরকার হয় না। অন-প্রিমাইজেস ওয়ার্কলোডের এমন ব্যক্তিগত ঠিকানা দরকার যেখানে সে রাউট করতে পারে, আর ইন্টারফেস এন্ডপয়েন্ট ঠিক সেটাই দেয়। কোনো ডিজাইন যদি দুটোই মেশায়, তবে দুটি এন্ডপয়েন্ট টাইপই একটি VPC-তে সহাবস্থান করতে পারে, এবং এটি ডুপ্লিকেশন নয়, স্বাভাবিক ব্যবস্থা।

এগুলো মেশানো সমস্যা নয়। সমস্যা হলো ধরে নেওয়া যে একটি টাইপ অন্যটিকে ঢেকে দেয়।

কিছু বাছার আগে ক্লায়েন্টকে শ্রেণিবদ্ধ করুন। VPC-এর ভেতরের ওয়ার্কস্পেস, NAT গেটওয়ের পেছনের কনটেইনার এবং শাখা অফিসের অ্যাপ্লিকেশন তিনটি আলাদা উৎস, আর কেবল শেষটিই হাইব্রিড প্রবেশ বাধ্যতামূলক করে। এই শ্রেণিবিভাগ এন্ডপয়েন্ট ইনভেন্টরির পাশে লিখে রাখুন, যাতে পরবর্তী পর্যালোচক দেখতে পান প্রতিটি এন্ডপয়েন্ট কেন আছে।

ইন্টারফেস পথের শুরু থেকে শেষ পর্যন্ত যা দরকার

ইন্টারফেস এন্ডপয়েন্ট ব্যক্তিগত ঠিকানায় পৌঁছানোর সুবিধা দেয়, আর পৌঁছানো চারটি প্রয়োজনীয়তার মধ্যে কেবল একটি। অন-প্রিমাইজেস নেটওয়ার্কের ওই ঠিকানাগুলোতে একটি রুট দরকার, VPC পাশের ফিরতি পথ দরকার, এন্ডপয়েন্টের সিকিউরিটি গ্রুপকে উৎসের রেঞ্জ অনুমোদন করতে হবে, আর দুটির মাঝের যেকোনো পরিদর্শন ডিভাইসকে প্রবাহ অনুমোদন করতে হবে। VPC-এর কোনো ইনস্ট্যান্সে যাওয়ার রুট এই চারটির একটিও প্রমাণ করে না।

দূরের প্রান্ত থেকে পেছনের দিকে কাজ করুন। এন্ডপয়েন্টের নেটওয়ার্ক ইন্টারফেসগুলো আপনার প্রত্যাশিত সাবনেটে আছে কি না নিশ্চিত করুন, তারপর দেখুন এর সিকিউরিটি গ্রুপ প্লেসহোল্ডার নয়, প্রকৃত অন-প্রিমাইজেস রেঞ্জ অনুমোদন করে কি না। এরপর যাচাই করুন টানেল বা সার্কিট একই দিকে ফিরতি পথ বহন করে কি না। পরিদর্শন হলো সেই ধাপ যা মানুষ এড়িয়ে যায়, কারণ সংযোগ অনুমোদন করা একটি মিডলবক্স তবুও বড় রেসপন্স বডি ফেলে দিতে পারে, আর সেটি নীতির সমস্যা নয়, থ্রুপুটের সমস্যার মতো দেখায়।

বড় ডাউনলোডের বদলে উপলব্ধ সবচেয়ে ছোট অনুমোদিত অপারেশন দিয়ে পরীক্ষা করুন। ব্যর্থতা আগে দেখা যায় এবং হিসাব রাখতে কম ট্রাফিক লাগে।

DNS VPC-কে নয়, কোয়েরির উৎসকে অনুসরণ করে

যে এন্ডপয়েন্ট আছে, তা নিজে থেকে কিছু রিডাইরেক্ট করে না। অ্যাপ্লিকেশন যে নামটি তার রিজলভার ফিরিয়ে দিয়েছে সেটিই পায়, আর রিজলভার যে ভিউ দেখার অনুমতি পায় সেই অনুযায়ী উত্তর দেয়। VPC-এর ভেতরের ইনস্ট্যান্স আর অফিসের ল্যাপটপ দুটি আলাদা প্রশ্ন করে এবং দুজনেই সঠিক কিন্তু ভিন্ন উত্তর পেতে পারে। একটি যাচাই করে অন্যটি সম্পর্কে সিদ্ধান্তে পৌঁছানোই পাস হওয়া পরীক্ষাকে ব্যর্থ ডিপ্লয়মেন্টে পরিণত করে।

এন্ডপয়েন্টের ব্যক্তিগত DNS সেটিংকে ডিজাইনের অংশ হিসেবে পড়ুন, লাইভ হওয়ার পরে চালু করার চেকবক্স হিসেবে নয়।

অফিস রিজলভারকে যদি VPC-এর ভিউ দেখতে হয়, তবে সেই পথটি ইচ্ছাকৃতভাবে তৈরি করতে হবে, সাধারণত একটি ইনবাউন্ড রিজলভার এন্ডপয়েন্টের মাধ্যমে। অ্যাপ্লিকেশনের নিজের প্রসঙ্গ থেকে কোয়েরি করুন এবং কোন রিজলভার উত্তর দিয়েছে তা নোট করুন। VPC-এর ভেতরের বাস্টিয়ন হোস্টে সংগৃহীত ফলাফল কেবল বাস্টিয়নের ভিউ বর্ণনা করে, আর কিছু নয়।

অনুমতি পৌঁছানোর ক্ষমতা থেকে আলাদা

পৌঁছানো যায় এমন এন্ডপয়েন্ট সেই অনুরোধগুলোর জন্য ত্রুটি ফেরায় যা করার অনুমতি প্রিন্সিপালের নেই, আর সেই ত্রুটির অর্থ হলো সিস্টেমটি যেভাবে ডিজাইন করা হয়েছে সেভাবেই কাজ করছে। আইডেন্টিটি পলিসি, বাকেট পলিসি এবং যেকোনো এন্ডপয়েন্ট পলিসি নিজ নিজ স্তরে মূল্যায়িত হয়। নেটওয়ার্ক অ্যাক্সেস কখনো কোনো অনুমতি দেয়নি।

দুটি ফলাফলের ভিত্তিতে ডিজাইন গ্রহণ করুন: একটি নিরীহ অনুমোদিত কল যা সফল হয়, এবং বাদ দেওয়া আইডেন্টিটি বা বাকেটের জন্য প্রত্যাশিত অস্বীকৃতি।

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

প্রতিটি ফলাফলের পাশে এন্ডপয়েন্টের নাম, সমাধান করা গন্তব্য এবং পলিসি প্রসঙ্গ লিখে রাখুন, কারণ পরে একটি DNS পরিবর্তন পুরো সিদ্ধান্তকে অকার্যকর করতে পারে। কিছু প্রোভিশন করার আগে দুই এন্ডপয়েন্ট টাইপের বর্তমান খরচ ও পরিচালন ভার তুলনা করুন। ইন্টারফেস এন্ডপয়েন্ট একটি হাইব্রিড ব্যক্তিগত প্রবেশ কিনে দেয়, এটি সর্বজনীন প্রয়োজন নয়, এবং VPC-এর ভেতরের ওয়ার্কলোডের জন্য গেটওয়ে পথটি প্রায়শই ভালো উত্তর হয়ে থাকে। পছন্দটি প্রতিটি ক্লায়েন্টের জন্য এবং এটি পুনর্বিবেচনাযোগ্য থাকে।