S3: punt d’enllaç de passarel·la o d’interfície per a l’accés des de la xarxa local

Dos tipus de punt d’enllaç S3 semblen intercanviables en una revisió de disseny i es comporten de manera completament diferent quan el client és fora de l’emplaçament. Un punt d’enllaç de passarel·la és una integració amb la taula d’encaminament dins d’una VPC, així que una sol·licitud des d’una VPN d’emplaçament mai no hi arriba com a destinació privada. Un punt d’enllaç d’interfície posa adreces privades a les interfícies de xarxa, que és una cosa a què un camí híbrid sí que pot arribar. Tot el que segueix depèn de quin dels dos heu triat.

Decidiu pel punt d’entrada de xarxa, no pel nom del servei

Comenceu per on s’origina el trànsit, perquè aquesta és la pregunta que respon el tipus de punt d’enllaç. Una càrrega de treball en un context de VPC compatible pot utilitzar un punt d’enllaç de passarel·la i mai no necessita una adreça privada pròpia. Una càrrega de treball a l’emplaçament necessita una adreça privada a la qual pugui encaminar, i això és el que proporciona un punt d’enllaç d’interfície. Si un disseny barreja tots dos, els dos tipus de punt d’enllaç poden conviure en una VPC, i això és una disposició normal i no una duplicació.

Barrejar-los no és el problema. Suposar que un tipus cobreix l’altre sí que ho és.

Classifiqueu el client abans de triar res. Un espai de treball dins de la VPC, un contenidor darrere d’una passarel·la NAT i una aplicació en una oficina de sucursal són tres fonts diferents, i només l’última obliga a l’entrada híbrida. Escriviu aquesta classificació al costat de l’inventari de punts d’enllaç perquè el següent revisor vegi per què existeix cada punt d’enllaç.

Què exigeix el camí d’interfície d’extrem a extrem

Un punt d’enllaç d’interfície atorga accessibilitat a adreces privades, i l’accessibilitat és només un de quatre requisits. La xarxa local necessita una ruta cap a aquestes adreces, el costat de la VPC necessita un camí de tornada, el grup de seguretat del punt d’enllaç ha d’admetre el rang d’origen, i qualsevol dispositiu d’inspecció entre tots dos ha de permetre el flux. Una ruta cap a una instància qualsevol de la VPC no demostra cap dels quatre.

Treballa de l’extrem llunyà cap enrere. Confirmeu que les interfícies de xarxa del punt d’enllaç existeixen a les subxarxes que espereu, i després confirmeu que el seu grup de seguretat admet el rang local real i no un marcador de posició. Comproveu després si el túnel o el circuit porta el camí de tornada en la mateixa direcció. La inspecció és el pas que la gent s’estalvia, perquè un dispositiu intermediari que permet la connexió encara pot descartar un cos de resposta més gran, i això sembla un problema de rendiment i no de política.

Proveu l’operació autoritzada més petita disponible en lloc d’una descàrrega gran. La fallada apareix abans i amb menys trànsit per justificar.

El DNS segueix la font de la consulta, no la VPC

Un punt d’enllaç que existeix no redirigeix res per si mateix. L’aplicació rep el nom que li ha retornat el seu resolutor, i el resolutor respon segons la vista que se li permet veure. Una instància dins de la VPC i un portàtil a l’oficina fan dues preguntes diferents i tots dos poden obtenir respostes correctes i diferents. Verificar-ne una i concloure sobre l’altra és com una prova superada es converteix en un desplegament fallit.

Llegiu la configuració privada de DNS del punt d’enllaç com a part del disseny, no com una casella que s’activa després de la posada en marxa.

Si el resolutor de l’oficina ha de veure la vista de la VPC, aquest camí s’ha de construir expressament, normalment mitjançant un punt d’enllaç d’entrada de resolutor. Consulteu des del context propi de l’aplicació i anoteu quin resolutor ha respost. Un resultat recollit en un amfitrió bastió dins de la VPC descriu la vista del bastió i res més.

El permís és separat de l’accessibilitat

Un punt d’enllaç accessible retorna errors per a les sol·licituds que el principal no té permís per fer, i aquest error vol dir que el sistema funciona tal com es va dissenyar. La política d’identitat, la política del bucket i qualsevol política del punt d’enllaç s’avaluen en les seves pròpies capes. L’accés de xarxa mai no ha atorgat un permís.

Accepteu el disseny amb dos resultats: una crida autoritzada inofensiva que té èxit i una denegació esperada per a una identitat o un bucket exclòs.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Anoteu el nom del punt d’enllaç, la destinació resolta i el context de política al costat de cada resultat, perquè un canvi posterior de DNS pot invalidar tota la conclusió. Compareu el cost actual i el pes operatiu dels dos tipus de punt d’enllaç abans de provisionar res. Un punt d’enllaç d’interfície compra una entrada privada híbrida, no és un requisit universal, i el camí de passarel·la sovint continua sent la millor resposta per a càrregues de treball dins de la VPC. L’elecció és per client i es manté revisable.