S3: pordega aŭ interfaca finpunkto por aliro el la loka reto

Du specoj de S3-finpunktoj ŝajnas interŝanĝeblaj en dezajna revizio kaj kondutas tute malsame, tuj kiam la kliento estas ekster la ejo. Pordega finpunkto estas integriĝo en la vojan tabelon ene de VPC, do peto de eja VPN neniam alvenas al ĝi kiel privata celo. Interfaca finpunkto metas privatajn adresojn sur retajn interfacojn, kion hibrida vojo povas efektive atingi. Ĉio, kio sekvas, dependas de tio, kiun el la du vi elektis.

Decidu laŭ la reta eniro, ne laŭ la servo-nomo

Komencu de tie, kie la trafiko fontas, ĉar tiu estas la demando, kiun la finpunkta speco respondas. Laborŝarĝo en subtenata VPC-kunteksto povas uzi pordegan finpunkton kaj neniam bezonas propran privatan adreson. Laborŝarĝo en la ejo bezonas privatan adreson, al kiu ĝi povas vojigi, kaj tion provizas interfaca finpunkto. Se dezajno miksas ambaŭ, ambaŭ finpunktaj specoj povas kunekzisti en unu VPC, kaj tio estas normala aranĝo, ne duobligo.

Miksi ilin ne estas la problemo. Supozi, ke unu speco kovras la alian, estas.

Klasifiku la klienton antaŭ ol elekti ion ajn. Laborspaco ene de la VPC, ujo malantaŭ NAT-pordego kaj aplikaĵo en filia oficejo estas tri malsamaj fontoj, kaj nur la lasta devigas la hibridan eniron. Skribu tiun klasifikon apud la finpunkta inventaro, por ke la sekva revizianto vidu, kial ĉiu finpunkto ekzistas.

Kion la interfaca vojo postulas de fino al fino

Interfaca finpunkto donas atingeblon al privataj adresoj, kaj atingeblo estas nur unu el kvar postuloj. La loka reto bezonas vojon al tiuj adresoj, la VPC-flanko bezonas revenan vojon, la sekureca grupo de la finpunkto devas akcepti la fontan gamon, kaj ajna inspekta aparato inter ili devas permesi la fluon. Vojo al iu ajn instanco en la VPC pruvas neniun el la kvar.

Laboru de la malproksima fino malantaŭen. Konfirmu, ke la retaj interfacoj de la finpunkto ekzistas en la subretoj, kiujn vi atendas, poste konfirmu, ke ĝia sekureca grupo akceptas la realan lokan gamon kaj ne anstataŭilon. Poste kontrolu, ĉu la tunelo aŭ cirkvito portas la revenan vojon en la sama direkto. Inspektado estas la paŝo, kiun homoj preterlasas, ĉar meza aparato, kiu permesas la konekton, tamen povas forĵeti pli grandan respondkorpon, kaj tio aspektas kiel trafikpova problemo anstataŭ politika.

Testu per la plej malgranda rajtigita operacio havebla anstataŭ per granda elŝuto. La fiasko aperas pli frue kaj kun malpli da trafiko por klarigi.

DNS sekvas la fonton de la demando, ne la VPC

Finpunkto, kiu ekzistas, mem ne alidirektas ion ajn. La aplikaĵo ricevas tiun nomon, kiun redonis ĝia solvilo, kaj la solvilo respondas laŭ la vido, kiun ĝi rajtas vidi. Instanco ene de la VPC kaj tekkomputilo en la oficejo demandas du malsamajn demandojn kaj ambaŭ povas ricevi ĝustajn, malsamajn respondojn. Kontroli unu kaj konkludi pri la alia estas la vojo, kiel preterpasita testo fariĝas malsukcesa deplojo.

Legu la privatan DNS-agordon de la finpunkto kiel parton de la dezajno, ne kiel markobutonon por ŝalti post la lanĉo.

Se la oficeja solvilo devas vidi la vidon de la VPC, tiu vojo devas esti konstruita intence, kutime per envenanta solvila finpunkto. Demandu el la propra kunteksto de la aplikaĵo kaj notu, kiu solvilo respondis. Rezulto kolektita sur bastiona gastiganto ene de la VPC priskribas la vidon de la bastiono kaj nenion alian.

Permeso estas aparta de atingeblo

Atingebla finpunkto redonas erarojn por petoj, kiujn la ĉefsubjekto ne rajtas fari, kaj tiu eraro signifas, ke la sistemo funkcias laŭ la dezajno. Identeca politiko, uja politiko kaj ajna finpunkta politiko estas taksataj en siaj propraj tavoloj. Reta aliro neniam donis permeson.

Akceptu la dezajnon sur du rezultoj: sendanĝera rajtigita voko, kiu sukcesas, kaj atendita rifuzo por ekskludita identeco aŭ ujo.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Notu la nomon de la finpunkto, la solvitan celon kaj la politikan kuntekston apud ĉiu rezulto, ĉar unu posta DNS-ŝanĝo povas nuligi la tutan konkludon. Komparu la nunan koston kaj operacian pezon de ambaŭ finpunktaj specoj antaŭ ol provizi ion ajn. Interfaca finpunkto aĉetas hibridan privatan eniron, ĝi ne estas universala postulo, kaj la pordega vojo ofte restas la pli bona respondo por laborŝarĝoj ene de la VPC. La elekto estas laŭ kliento kaj restas revizebla.