S3-endepunkt: gateway eller grænseflade til adgang fra det lokale netværk

To typer S3-endepunkter ser udskiftelige ud i en designgennemgang og opfører sig helt forskelligt, når klienten først sidder uden for lokaliteten. Et gateway-endepunkt er en integration i rutetabellen inde i en VPC, så en anmodning fra en lokalitets-VPN når aldrig frem til det som en privat destination. Et grænseflade-endepunkt sætter private adresser på netværksgrænseflader, og det kan en hybrid vej faktisk nå. Alt det følgende afhænger af, hvilken af de to du valgte.

Beslut ud fra netværksindgangen, ikke ud fra tjenestenavnet

Start der, hvor trafikken opstår, for det er det spørgsmål, endepunkttypen besvarer. En arbejdsbelastning i en understøttet VPC-kontekst kan bruge et gateway-endepunkt og har aldrig brug for sin egen private adresse. En arbejdsbelastning på lokaliteten har brug for en privat adresse, den kan route til, og det er netop, hvad et grænseflade-endepunkt giver. Hvis et design blander begge, kan begge endepunkttyper sameksistere i én VPC, og det er en normal ordning og ikke en dubblering.

At blande dem er ikke problemet. At antage, at den ene type dækker den anden, er.

Klassificér klienten, før du vælger noget. Et arbejdsområde inde i VPC’en, en container bag en NAT-gateway og en applikation på et filialkontor er tre forskellige kilder, og kun den sidste tvinger den hybride indgang. Skriv den klassificering ved siden af endepunktinventaret, så den næste anmelder kan se, hvorfor hvert endepunkt findes.

Hvad grænsefladevejen kræver fra ende til anden

Et grænseflade-endepunkt giver adgang til private adresser, og adgang er kun ét af fire krav. Det lokale netværk har brug for en rute til disse adresser, VPC-siden har brug for en returvej, endepunktets sikkerhedsgruppe skal tillade kildeområdet, og enhver inspektionsenhed imellem skal tillade strømmen. En rute til en eller anden instans i VPC’en beviser ingen af de fire.

Arbejd fra den fjerne ende og bagud. Bekræft, at endepunktets netværksgrænseflader findes i de undernet, du forventer, og bekræft derefter, at dets sikkerhedsgruppe tillader det rigtige lokale område og ikke en pladsholder. Kontrollér derefter, om tunnelen eller kredsløbet bærer returvejen i samme retning. Inspektion er det trin, folk springer over, fordi en mellemledsenhed, der tillader forbindelsen, stadig kan kassere en større svarstekst, og det ser ud som et gennemstrømningsproblem i stedet for et politikproblem.

Test med den mindste tilladte handling, der er tilgængelig, i stedet for en stor download. Fejlen viser sig tidligere og med mindre trafik at redegøre for.

DNS følger forespørgselskilden, ikke VPC’en

Et endepunkt, der findes, omdirigerer ikke noget af sig selv. Applikationen modtager det navn, dens resolver returnerede, og resolveren svarer efter det syn, den har lov til at se. En instans inde i VPC’en og en bærbar computer på kontoret stiller to forskellige spørgsmål og kan begge få korrekte, forskellige svar. At verificere det ene og konkludere om det andet er måden, en bestået test bliver til en mislykket udrulning.

Læs endepunktets private DNS-indstilling som en del af designet, ikke som et afkrydsningsfelt, der skal aktiveres efter go-live.

Hvis kontorets resolver skal se VPC’ens syn, skal den vej bygges med vilje, ofte via et indgående resolver-endepunkt. Forespørg fra applikationens egen kontekst, og notér hvilken resolver der svarede. Et resultat indsamlet på en bastion-vært inde i VPC’en beskriver bastionens syn og intet andet.

Tilladelse er adskilt fra adgang

Et tilgængeligt endepunkt returnerer fejl for anmodninger, som principalen ikke har tilladelse til at udføre, og den fejl betyder, at systemet fungerer som designet. Identitetspolitik, bucket-politik og enhver endepunktspolitik evalueres i deres egne lag. Netværksadgang har aldrig givet en tilladelse.

Accepter designet på to resultater: et harmløst autoriseret kald, der lykkes, og en forventet afvisning for en udelukket identitet eller bucket.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Notér endepunktets navn, den opløste destination og politikpræmissen ved hvert resultat, fordi en senere DNS-ændring kan ugyldiggøre hele konklusionen. Sammenlign de aktuelle omkostninger og den operationelle vægt af begge endepunkttyper, før du etablerer noget. Et grænseflade-endepunkt køber en hybrid privat indgang, det er ikke et universelt krav, og gateway-vejen er ofte det bedre svar for arbejdsbelastninger inde i VPC’en. Valget er per klient, og det kan altid tages op igen.