S3: τελικό σημείο πύλης ή διεπαφής για πρόσβαση από το τοπικό δίκτυο

Δύο τύποι τελικών σημείων S3 φαίνονται εναλλάξιμοι σε μια ανασκόπηση σχεδίασης και συμπεριφέρονται εντελώς διαφορετικά μόλις ο πελάτης βρεθεί εκτός της εγκατάστασης. Ένα τελικό σημείο πύλης είναι ενσωμάτωση στον πίνακα δρομολόγησης μέσα σε μια VPC, οπότε ένα αίτημα από VPN της εγκατάστασης δεν φτάνει ποτέ σε αυτό ως ιδιωτικός προορισμός. Ένα τελικό σημείο διεπαφής τοποθετεί ιδιωτικές διευθύνσεις σε διασυνδέσεις δικτύου, κάτι που μια υβριδική διαδρομή μπορεί πραγματικά να φτάσει. Όλα όσα ακολουθούν εξαρτώνται από το ποιο από τα δύο επιλέξατε.

Αποφασίστε από την είσοδο δικτύου, όχι από το όνομα της υπηρεσίας

Ξεκινήστε από εκεί όπου δημιουργείται η κίνηση, γιατί αυτό είναι το ερώτημα που απαντά ο τύπος τελικού σημείου. Ένα φορτίο εργασίας σε υποστηριζόμενο περιβάλλον VPC μπορεί να χρησιμοποιήσει τελικό σημείο πύλης και δεν χρειάζεται ποτέ δική του ιδιωτική διεύθυνση. Ένα φορτίο εργασίας στην εγκατάσταση χρειάζεται μια ιδιωτική διεύθυνση προς την οποία μπορεί να δρομολογήσει, και αυτό παρέχει ένα τελικό σημείο διεπαφής. Αν μια σχεδίαση συνδυάζει και τα δύο, και οι δύο τύποι τελικών σημείων μπορούν να συνυπάρχουν σε μία VPC, και αυτό είναι κανονική διάταξη και όχι διπλασιασμός.

Η ανάμιξή τους δεν είναι το πρόβλημα. Το πρόβλημα είναι να υποθέτει κανείς ότι ο ένας τύπος καλύπτει τον άλλο.

Ταξινομήστε τον πελάτη πριν επιλέξετε οτιδήποτε. Ένας χώρος εργασίας μέσα στη VPC, ένα κοντέινερ πίσω από πύλη NAT και μια εφαρμογή σε υποκατάστημα είναι τρεις διαφορετικές πηγές, και μόνο η τελευταία επιβάλλει την υβριδική είσοδο. Γράψτε αυτή την ταξινόμηση δίπλα στο απόθεμα τελικών σημείων, ώστε ο επόμενος ελεγκτής να βλέπει γιατί υπάρχει κάθε τελικό σημείο.

Τι απαιτεί η διαδρομή διεπαφής από άκρη σε άκρη

Ένα τελικό σημείο διεπαφής παρέχει προσβασιμότητα σε ιδιωτικές διευθύνσεις, και η προσβασιμότητα είναι μόνο μία από τέσσερις προϋποθέσεις. Το τοπικό δίκτυο χρειάζεται διαδρομή προς αυτές τις διευθύνσεις, η πλευρά της VPC χρειάζεται διαδρομή επιστροφής, η ομάδα ασφαλείας του τελικού σημείου πρέπει να επιτρέπει το εύρος προέλευσης, και οποιαδήποτε συσκευή επιθεώρησης μεταξύ τους πρέπει να επιτρέπει τη ροή. Μια διαδρομή προς κάποια παρουσία μέσα στη VPC δεν αποδεικνύει καμία από τις τέσσερις.

Δουλέψτε από το μακρινό άκρο προς τα πίσω. Επιβεβαιώστε ότι οι διασυνδέσεις δικτύου του τελικού σημείου υπάρχουν στα υποδίκτυα που περιμένετε, και μετά επιβεβαιώστε ότι η ομάδα ασφαλείας του επιτρέπει το πραγματικό τοπικό εύρος και όχι ένα σύμβολο κράτησης θέσης. Έπειτα ελέγξτε αν η σήραγγα ή το κύκλωμα μεταφέρει τη διαδρομή επιστροφής προς την ίδια κατεύθυνση. Η επιθεώρηση είναι το βήμα που οι άνθρωποι παραλείπουν, γιατί μια ενδιάμεση συσκευή που επιτρέπει τη σύνδεση μπορεί ακόμη να απορρίψει ένα μεγαλύτερο σώμα απόκρισης, και αυτό μοιάζει με πρόβλημα απόδοσης και όχι πολιτικής.

Δοκιμάστε με τη μικρότερη εξουσιοδοτημένη λειτουργία που είναι διαθέσιμη αντί για μεγάλη λήψη. Η αποτυχία εμφανίζεται νωρίτερα και με λιγότερη κίνηση να εξηγηθεί.

Το DNS ακολουθεί την πηγή του ερωτήματος, όχι τη VPC

Ένα τελικό σημείο που υπάρχει δεν ανακατευθύνει τίποτα από μόνο του. Η εφαρμογή λαμβάνει ό,τι όνομα επέστρεψε ο μεταφραστής της, και ο μεταφραστής απαντά σύμφωνα με την όψη που του επιτρέπεται να βλέπει. Μια παρουσία μέσα στη VPC και ένας φορητός υπολογιστής στο γραφείο κάνουν δύο διαφορετικές ερωτήσεις και μπορούν και τα δύο να λάβουν σωστές, διαφορετικές απαντήσεις. Το να επαληθεύσετε το ένα και να συμπεράνετε για το άλλο είναι ο τρόπος με τον οποίο μια επιτυχημένη δοκιμή γίνεται αποτυχημένη ανάπτυξη.

Διαβάστε τη ρύθμιση ιδιωτικού DNS του τελικού σημείου ως μέρος της σχεδίασης, όχι ως πλαίσιο ελέγχου που ενεργοποιείται μετά τη θέση σε λειτουργία.

Αν ο μεταφραστής του γραφείου πρέπει να βλέπει την όψη της VPC, αυτή η διαδρομή πρέπει να χτιστεί σκόπιμα, συνήθως μέσω ενός εισερχόμενου τελικού σημείου μεταφραστή. Κάντε ερώτημα από το δικό του περιβάλλον της εφαρμογής και σημειώστε ποιος μεταφραστής απάντησε. Ένα αποτέλεσμα που συλλέγεται σε κεντρικό υπολογιστή προπυργίου μέσα στη VPC περιγράφει την όψη του προπυργίου και τίποτα άλλο.

Η άδεια είναι ξεχωριστή από την προσβασιμότητα

Ένα προσβάσιμο τελικό σημείο επιστρέφει σφάλματα για αιτήματα που ο κύριος δεν επιτρέπεται να κάνει, και αυτό το σφάλμα σημαίνει ότι το σύστημα λειτουργεί όπως σχεδιάστηκε. Η πολιτική ταυτότητας, η πολιτική κάδου και οποιαδήποτε πολιτική τελικού σημείου αξιολογούνται στα δικά τους επίπεδα. Η πρόσβαση δικτύου ποτέ δεν έδωσε άδεια.

Αποδεχτείτε τη σχεδίαση με δύο αποτελέσματα: μια ακίνδυνη εξουσιοδοτημένη κλήση που πετυχαίνει, και μια αναμενόμενη άρνηση για μια εξαιρούμενη ταυτότητα ή κάδο.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Καταγράψτε το όνομα του τελικού σημείου, τον προορισμό που επιλύθηκε και το πλαίσιο πολιτικής δίπλα σε κάθε αποτέλεσμα, γιατί μια μεταγενέστερη αλλαγή DNS μπορεί να ακυρώσει ολόκληρο το συμπέρασμα. Συγκρίνετε το τρέχον κόστος και το επιχειρησιακό βάρος και των δύο τύπων τελικών σημείων πριν παρέχετε οτιδήποτε. Ένα τελικό σημείο διεπαφής αγοράζει μια υβριδική ιδιωτική είσοδο, δεν είναι καθολική απαίτηση, και η διαδρομή πύλης συχνά παραμένει η καλύτερη απάντηση για φορτία εργασίας μέσα στη VPC. Η επιλογή είναι ανά πελάτη και παραμένει αναθεωρήσιμη.