Porth S3 neu bwynt terfyn rhyngwyneb ar gyfer cleient ar y safle?

Nid yw cyrraedd S3 o rwydwaith swyddfa dros VPN safle yn broblem llwybro y gall llwybr statig ei datrys ar ei phen ei hun. Mae pwynt terfyn porth ynghlwm wrth dablau llwybrau ac yn gwasanaethu ceisiadau sy’n deillio o fewn y VPC. Mae pwynt terfyn rhyngwyneb yn gosod rhyngwynebau rhwydwaith elastig â chyfeiriadau preifat yn eich is-rwydweithiau, ac mae’r cyfeiriadau hynny’n cyrraeddadwy o’r safle dros VPN neu Direct Connect. Mae lle mae’r cais yn dechrau yn penderfynu pa un o’r ddau sydd ei angen arnoch mewn gwirionedd, ac mae’r gwaith DNS, grŵp diogelwch a pholisi yn dilyn o’r ateb hwnnw.

Gwahanwch y mathau o bwynt terfyn yn ôl lle mae’r cais yn dechrau

Mae pwynt terfyn porth yn ymddangos fel cofnod yn y tabl llwybrau sy’n pwyntio at restr rhagddodiadau a reolir. Nid oes ganddo ryngwyneb rhwydwaith, grŵp diogelwch na chyfeiriad preifat ei hun, a dyna’n union pam na all gwesteiwr ar y safle lwybro ato: nid oes dim ar yr ochr arall i lwybro ato. Mae traffig o fewn y VPC yn cyrraedd S3 oherwydd bod tabl llwybrau’r is-rwydwaith yn anfon y rhagddodiad hwnnw at y pwynt terfyn. Nid oes gan draffig o unrhyw le arall gofnod o’r fath i’w ddilyn.

Mae pwynt terfyn rhyngwyneb yn set o ryngwynebau rhwydwaith mewn is-rwydweithiau a ddewiswch, pob un â chyfeiriad preifat o’r is-rwydwaith honno a grŵp diogelwch ynghlwm. Dyma’r siâp y gall cleient hybrid ei ddefnyddio, oherwydd ei fod yn gyrchfan gyffredin y gall eich tiwnol gludo pecynnau iddi. Mae hefyd yn golygu bod y pwynt terfyn yn defnyddio cyfeiriadau yn yr is-rwydwaith ac y gall eu dihysbyddu.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

Darllenwch y golofn Type yn hytrach na’r enw. Mae un VPC fel arfer yn dal y ddau fath ar gyfer yr un gwasanaeth, a’r cofnod y mae ar eich cymhwysiad ar y safle ei angen yw’r un rhyngwyneb.

Adeiladwch y llwybr i gyfeiriad y rhyngwyneb cyn profi S3

Rhaid i dri pheth fod yn wir ar yr un pryd: bod gan y llwybrydd ar y safle lwybr i is-rwydwaith y pwynt terfyn, bod y llwybr dychwelyd o’r is-rwydwaith honno’n cyrraedd rhwydwaith y cleient, a bod grŵp diogelwch y pwynt terfyn yn derbyn ystod ffynhonnell y cleient. Gall ACL rhwydwaith yr is-rwydwaith ostwng y pecyn o hyd ar ôl i’r tri basio, felly gwiriwch ef fel pedwerydd eitem yn hytrach nag fel meddwl hwyr.

Nid yw llwybr sy’n gweithio i ryw enghraifft EC2 yn y VPC yn profi dim o hyn. Dim ond dangos bod y tiwnol i fyny y mae, sef yr un rhan o’r llwybr yr oeddech eisoes yn ei gwybod. Profwch gyfeiriad y pwynt terfyn ar wahân, yna profwch fod yr enw’n datrys iddo.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

Mae’r gorchymyn cyntaf yn dangos pa ryngwyneb y byddai’r cleient yn ei ddefnyddio. Mae’r ail yn profi ysgydwad llaw TCP. Mae’r trydydd yn profi bod TLS yn cwblhau gyda thystysgrif sy’n ddilys ar gyfer enw’r pwynt terfyn, a dyma’r gwiriad sy’n dal cyfeiriad anghywir cyn i chi feio caniatâd.

Penderfynwch pa ateb DNS y mae’r cymhwysiad yn ei dderbyn

Nid yw pwynt terfyn rhyngwyneb yn bodoli yn y VPC yn ailgyfeirio SDK ar y safle ar ei ben ei hun. Naill ai mae’r cleient yn defnyddio’r enw sy’n benodol i’r pwynt terfyn y mae AWS yn ei gyhoeddi ar ei gyfer, neu barth a gynhelir yn breifat yr ydych wedi’i wneud yn ddatrysiadwy o’r swyddfa yn fwriadol.

Ar gyfer datrys hybrid, mae ar y datryswr ar y safle angen llwybr a gefnogir i mewn i olwg DNS y VPC, fel arfer trwy bwynt terfyn mewnol Resolver. Galluogi DNS preifat heb ddeall pa ffynonellau ymholiad y mae’n effeithio arnynt yw’r ffordd y mae chwiliad yn dechrau dychwelyd cyfeiriad na all y swyddfa gyrraedd ato. Mae’r gosodiad yn newid atebion ar gyfer ymholiadau sy’n dod trwy ddatryswr y VPC, nid ar gyfer pob cleient ym mhob man.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

Rhedwch y ddau ar westeiwr y cymhwysiad, nid ar flwch naid yn y VPC. Y datryswr sy’n ateb yno yw’r un y mae eich llwyth gwaith yn ei ddefnyddio, ac ateb gwahanol o westeiwr gwahanol yw’r ffynhonnell ddryswch fwyaf cyffredin yn y dyluniad hwn.

Nid yw cyrraeddadwyedd yn awdurdodiad

Mae cais sy’n cyrraedd y pwynt terfyn yn dal i fod angen prif berson awdurdodedig a chaniatâd bwced sy’n berthnasol. Gall polisi pwynt terfyn gyfyngu ar yr hyn y mae’r pwynt terfyn yn ei ganiatáu, a gall polisi bwced ei gyfyngu eto. Nid yw cyrraedd y rhyngwyneb yn dweud dim am ba wrthrychau y caiff y galwr eu darllen.

Profwch y ddau gyfeiriad: un alwad awdurdodedig ddiniwed yn erbyn y bwced a fwriadwyd, ac un alwad y disgwylir iddi gael ei gwrthod ar gyfer hunaniaeth neu adnodd y tu allan i’r polisi. Cadwch enw’r pwynt terfyn, y cyfeiriad a ddatryswyd a chyd-destun y polisi gyda’r canlyniad fel y gall y person nesaf ei atgynhyrchu. Mae gwrthodiad sy’n enwi math y polisi yn arbed awr o ddyfalu.

Yn olaf, priswch y ddau opsiwn cyn darparu. Mae pwynt terfyn rhyngwyneb yn bilio fesul awr ryngwyneb a fesul gigabeit, tra nad yw pwynt terfyn porth yn gwneud hynny, ac mae’r gwahaniaeth hwnnw’n penderfynu’r cwestiwn ar gyfer llawer o lwythi gwaith â chyfaint isel sydd ond angen mynediad o ochr y VPC.