S3: lüüsi või liidese lõpp-punkt juurdepääsuks kohalikust võrgust

Kaks S3 lõpp-punkti tüüpi näivad projekteerimise ülevaatusel vahetatavad ja käituvad täiesti erinevalt, kui klient asub väljaspool objekti. Lüüsilõpp-punkt on VPC-sisene marsruutimistabeli integratsioon, seega objekti VPN-ist lähtuv päring ei jõua kunagi selleni privaatse sihtkohana. Liidese lõpp-punkt paigutab privaatsed aadressid võrguliidestele, millele hübriidtee tegelikult ligi pääseb. Kõik järgnev sõltub sellest, kumma kahest te valisite.

Otsustage võrgusisendi järgi, mitte teenuse nime järgi

Alustage sealt, kus liiklus tekib, sest just sellele küsimusele vastab lõpp-punkti tüüp. Töökoormus toetatud VPC-kontekstis saab kasutada lüüsilõpp-punkti ega vaja kunagi oma privaatset aadressi. Kohapealne töökoormus vajab privaatset aadressi, kuhu saab marsruutida, ja just seda pakub liidese lõpp-punkt. Kui projekt segab mõlemat, võivad mõlemad lõpp-punkti tüübid ühes VPC-s kõrvuti eksisteerida, ja see on tavaline lahendus, mitte dubleerimine.

Nende segamine ei ole probleem. Probleem on eeldada, et üks tüüp katab teise.

Klassifitseerige klient enne, kui midagi valite. VPC-sisene tööruum, NAT-lüüsi taga olev konteiner ja harukontori rakendus on kolm erinevat allikat, ja ainult viimane sunnib hübriidsisendi. Kirjutage see klassifikatsioon lõpp-punktide inventuuri kõrvale, et järgmine ülevaataja näeks, miks iga lõpp-punkt olemas on.

Mida liidesetee otsast otsani nõuab

Liidese lõpp-punkt annab juurdepääsu privaatsetele aadressidele, ja juurdepääs on vaid üks neljast nõudest. Kohalik võrk vajab marsruuti nendele aadressidele, VPC pool vajab tagasiteed, lõpp-punkti turbegrupp peab lubama allika vahemikku, ja mis tahes kontrollseade nende vahel peab voolu lubama. Marsruut mõnele VPC eksemplarile ei tõesta ühtegi neist neljast.

Töötage kaugemast otsast tagasi. Kinnitage, et lõpp-punkti võrguliidesed asuvad oodatud alamvõrkudes, seejärel kinnitage, et selle turbegrupp lubab tegelikku kohalikku vahemikku, mitte kohatäidet. Seejärel kontrollige, kas tunnel või ühendus kannab tagasiteed samas suunas. Kontrollimine on samm, mille inimesed vahele jätavad, sest ühendust lubav vaheseade võib siiski suurema vastuskeha maha visata, ja see näib läbilaskevõime, mitte poliitika probleemina.

Testige väikseima lubatud toiminguga, mis on saadaval, mitte suure allalaadimisega. Tõrge ilmneb varem ja vähema liiklusega, mida tuleb põhjendada.

DNS järgib päringu allikat, mitte VPC-d

Olemasolev lõpp-punkt ei suuna iseenesest midagi ümber. Rakendus saab selle nime, mille selle resolver tagastas, ja resolver vastab vastavalt vaatele, mida tal on lubatud näha. VPC-sisene eksemplar ja kontori sülearvuti esitavad kaks erinevat küsimust ja mõlemad võivad saada õiged, kuid erinevad vastused. Ühe kontrollimine ja teise kohta järelduse tegemine on viis, kuidas läbitud test muutub ebaõnnestunud juurutuseks.

Lugege lõpp-punkti privaatset DNS-seadet projekteerimise osana, mitte märkeruuduna, mis lülitatakse sisse pärast kasutuselevõttu.

Kui kontori resolver peab nägema VPC vaadet, tuleb see tee meelega ehitada, tavaliselt sissetuleva resolveri lõpp-punkti kaudu. Pärige rakenduse enda kontekstist ja märkige, milline resolver vastas. VPC-sisesel bastionihostil kogutud tulemus kirjeldab bastioni vaadet ja mitte midagi muud.

Õigus on juurdepääsust eraldi

Ligipääsetav lõpp-punkt tagastab vigu päringutele, mida põhiobjekt ei tohi teha, ja see viga tähendab, et süsteem töötab nii, nagu projekteeritud. Identiteedipoliitikat, ämbripoliitikat ja mis tahes lõpp-punkti poliitikat hinnatakse nende endi kihtides. Võrgu juurdepääs ei ole kunagi õigust andnud.

Aktsepteerige projekti kahe tulemuse põhjal: kahjutu volitatud kutse, mis õnnestub, ja oodatud keeldumine välistatud identiteedi või ämbri puhul.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Kirjutage iga tulemuse kõrvale lõpp-punkti nimi, lahendatud sihtkoht ja poliitika kontekst, sest üks hilisem DNS-i muudatus võib kogu järelduse kehtetuks muuta. Enne millegi loomist võrrelge mõlema lõpp-punkti tüübi praegust kulu ja halduskoormust. Liidese lõpp-punkt ostab hübriidse privaatse sissepääsu, see ei ole universaalne nõue, ja lüüsitsee jääb VPC-siseste töökoormuste jaoks sageli paremaks vastuseks. Valik tehakse iga kliendi jaoks ja see jääb ülevaatamiseks.