S3 přes bránu nebo přes rozhraní: přístup z místní sítě

Dva typy koncových bodů S3 vypadají při kontrole návrhu zaměnitelně a chovají se zcela odlišně, jakmile klient sedí mimo lokalitu. Koncový bod brány je integrace do směrovací tabulky uvnitř VPC, takže požadavek z VPN lokality k němu nikdy nedorazí jako k privátnímu cíli. Koncový bod rozhraní umisťuje privátní adresy na síťová rozhraní, což je něco, kam se hybridní cesta skutečně dostane. Vše, co následuje, závisí na tom, který z těch dvou jste zvolili.

Rozhodujte podle síťového vstupu, ne podle názvu služby

Začněte tam, kde provoz vzniká, protože na tuto otázku typ koncového bodu odpovídá. Úloha v podporovaném kontextu VPC může použít koncový bod brány a nikdy nepotřebuje vlastní privátní adresu. Úloha v lokalitě potřebuje privátní adresu, na kterou může směrovat, a to poskytuje koncový bod rozhraní. Pokud návrh míchá obojí, oba typy koncových bodů mohou v jedné VPC koexistovat, a to je normální uspořádání, ne duplikace.

Míchat je není problém. Problém je předpokládat, že jeden typ pokrývá druhý.

Než cokoli vyberete, klasifikujte klienta. Pracovní prostor uvnitř VPC, kontejner za bránou NAT a aplikace v pobočce jsou tři různé zdroje a pouze poslední vynucuje hybridní vstup. Napište tuto klasifikaci vedle inventáře koncových bodů, aby další recenzent viděl, proč každý koncový bod existuje.

Co vyžaduje cesta rozhraní od začátku do konce

Koncový bod rozhraní poskytuje dostupnost privátních adres a dostupnost je jen jeden ze čtyř požadavků. Místní síť potřebuje trasu k těmto adresám, strana VPC potřebuje zpětnou cestu, bezpečnostní skupina koncového bodu musí propustit rozsah zdroje a jakékoli kontrolní zařízení mezi nimi musí tok povolit. Trasa k nějaké instanci ve VPC neprokazuje ani jeden ze čtyř požadavků.

Pracujte od vzdáleného konce zpět. Ověřte, že síťová rozhraní koncového bodu existují v očekávaných podsítích, poté ověřte, že jeho bezpečnostní skupina propouští skutečný místní rozsah, ne zástupný symbol. Pak zkontrolujte, zda tunel nebo okruh nese zpětnou cestu stejným směrem. Kontrola je krok, který lidé přeskakují, protože mezilehlé zařízení, které spojení povolí, může přesto zahodit větší tělo odpovědi, a to vypadá jako problém propustnosti, ne politiky.

Testujte nejmenší povolenou operací, která je k dispozici, místo velkého stahování. Selhání se objeví dřív a s méně provozem, který je třeba vysvětlit.

DNS následuje zdroj dotazu, ne VPC

Koncový bod, který existuje, sám nic nepřesměrovává. Aplikace dostane jméno, které vrátil její resolver, a resolver odpovídá podle pohledu, který smí vidět. Instance uvnitř VPC a notebook v kanceláři kladou dvě různé otázky a obě mohou dostat správné, ale odlišné odpovědi. Ověřit jedno a usoudit na druhé je cesta od procházejícího testu k neúspěšnému nasazení.

Čtěte privátní nastavení DNS koncového bodu jako součást návrhu, ne jako zaškrtávací políčko, které se zapne po spuštění.

Pokud má kancelářský resolver vidět pohled VPC, musí být tato cesta postavena záměrně, obvykle přes příchozí koncový bod resolveru. Dotazujte se z vlastního kontextu aplikace a poznamenejte, který resolver odpověděl. Výsledek získaný na bastionu uvnitř VPC popisuje pohled bastionu a nic jiného.

Oprávnění je oddělené od dostupnosti

Dostupný koncový bod vrací chyby pro požadavky, které subjekt nesmí provést, a tato chyba znamená, že systém funguje podle návrhu. Zásada identity, zásada bucketu a jakákoli zásada koncového bodu se vyhodnocují ve svých vlastních vrstvách. Síťový přístup nikdy neudělil oprávnění.

Přijměte návrh na základě dvou výsledků: neškodlivé autorizované volání, které uspěje, a očekávané odmítnutí pro vyloučenou identitu nebo bucket.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Zaznamenejte název koncového bodu, přeložený cíl a kontext zásad vedle každého výsledku, protože jedna pozdější změna DNS může zneplatnit celý závěr. Před zřízením čehokoli porovnejte současné náklady a provozní zátěž obou typů koncových bodů. Koncový bod rozhraní kupuje hybridní privátní vstup, není univerzálním požadavkem a cesta přes bránu často zůstává lepší odpovědí pro úlohy uvnitř VPC. Volba je pro každého klienta a zůstává přezkoumatelná.