S3 atebidea ala interfazearen amaiera-puntua lokaleko bezeroarentzat?

Bulegoko sare batetik site VPN baten bidez S3ra iristea ez da ibilbide estatiko batek bakarrik konpondu dezakeen bideratze-arazo bat. Atebidearen amaiera-puntua bideratze-tauletara atxikitzen da eta VPCren barnean sortzen diren eskaerei zerbitzatzen die. Interfazearen amaiera-puntuak helbide pribatudun sare-interfaze elastikoak jartzen ditu zure azpisareetan, eta helbide horiek lokaletik iristeko modukoak dira VPN edo Direct Connect bidez. Eskaera nondik hasten den erabakitzen du bietatik zein behar duzun benetan, eta DNS, segurtasun-talde eta politikaren lana erantzun horretatik dator.

Bereizi amaiera-puntu motak eskaera nondik hasten den arabera

Atebidearen amaiera-puntua kudeatutako aurrizki-zerrenda batera seinalatzen duen bideratze-taulako sarrera gisa agertzen da. Ez du sare-interfazerik, ez segurtasun-talderik, ez bere helbide pribaturik, eta horregatik bertako ostalariek ezin dute hara bideratu: beste aldean ez dago ezer bideratzeko. VPCren barnetik datorren trafikoa S3ra iristen da azpisarearen bideratze-taulak aurrizki hori amaiera-puntura bidaltzen duelako. Beste edozein lekutatik datorren trafikoak ez du halako sarrerarik jarraitzeko.

Interfazearen amaiera-puntua zuk aukeratutako azpisareetan dagoen sare-interfaze multzo bat da, bakoitza azpisare horretako helbide pribatu batekin eta atxikitako segurtasun-talde batekin. Hau da bezero hibrido batek erabil dezakeen forma, zure tunelak paketeak eraman ditzakeen ohiko helmuga delako. Gainera, amaiera-puntuak azpisareko helbideak kontsumitzen dituela eta agortu daitezkeela esan nahi du.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

Irakurri Type zutabea, ez izena. VPC bakar batek sarritan bi motak izaten ditu zerbitzu bererako, eta zure lokaleko aplikazioak behar duen sarrera interfazearena da.

Eraiki interfazearen helbiderako bidea S3 probatu aurretik

Hiru gauza egia izan behar dira aldi berean: lokaleko bideratzaileak amaiera-puntuaren azpisarearekiko ibilbidea du, azpisare horretatik itzultzeko bideak bezeroaren sarea iristen du, eta amaiera-puntuaren segurtasun-taldeak bezeroaren iturburu-barrutia onartzen du. Azpisarearen sareko ACLak paketea oraindik bota dezake hirurak bete ondoren, beraz egiaztatu laugarren elementu gisa, eta ez geroagoko pentsamendu gisa.

VPCren barruko EC2 instantzia batera funtzionatzen duen ibilbide batek ez du horietako ezer frogatzen. Tunela altxatuta dagoela erakusten du, jada ezagutzen zenuen bidearen zati bakarra. Frogatu amaiera-puntuaren helbidea bereizita, eta gero frogatu izenak hara ebazten duela.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

Lehen aginduak bezeroak zein interfaze erabiliko lukeen erakusten du. Bigarrenak TCP esku-ukitzea frogatzen du. Hirugarrenak TLS amaiera-puntuaren izenerako balio duen ziurtagiri batekin osatzen dela frogatzen du, eta hori da baimenak erruduntzat jo aurretik helbide okerra harrapatzen duen egiaztapena.

Erabaki zein DNS erantzun jasotzen duen aplikazioak

VPCn interfazearen amaiera-puntu bat egoteak ez du lokaleko SDKrik bere kabuz birbideratzen. Bezeroak edo AWSk amaiera-puntu horretarako argitaratzen duen amaiera-puntuaren berariazko izena erabiltzen du, edo bulegotik ebazgarri egin duzun zona ostatatu pribatua.

Ebazpen hibridorako, lokaleko ebazpenak bide onartu bat behar du VPCren DNS ikuspegira, normalean Resolverren sarrerako amaiera-puntu baten bidez. DNS pribatua zein kontsulta-iturbururi eragiten dion ulertu gabe gaitzeak bilaketa bulegotik iristen ez den helbide bat itzultzen hasteko modua da. Ezarpenak VPCren ebazpenaren bidez iristen diren kontsulten erantzunak aldatzen ditu, ez leku guztietako bezero guztienak.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

Exekutatu biak aplikazioaren ostalarian, ez VPCren barruko jauzi-kutxa batean. Han erantzuten duen ebazpena da zure lan-kargak erabiltzen duena, eta beste ostalari batetik erantzun desberdina lortzea da diseinu honetako nahasmen-iturri ohikoena.

Iristeak ez du baimenik ematen

Amaiera-puntura iristen den eskaera batek oraindik baimendutako nagusi bat eta aplikagarria den ontzi-baimen bat behar ditu. Amaiera-puntuaren politikak amaiera-puntuak uzten duena murriztu dezake, eta ontzi-politikak berriro murriztu dezake. Interfazera iristeak ez du ezer esaten deiadunak zein objektu irakur ditzakeen.

Probatu bi norabideak: dei baimendu eta kaltegabe bat aurreikusitako ontziaren aurka, eta politikatik kanpoko identitate edo baliabide baterako ukatuko dela espero den dei bat. Gorde amaiera-puntuaren izena, ebatzitako helbidea eta politikaren testuingurua emaitzarekin batera, hurrengo pertsonak erreproduzitu ahal izan dezan. Politikaren mota aipatzen duen ukapenak ordu bat aurreztuko du asmakizunetan.

Azkenik, balioetsi bi aukeren prezioa hornitu aurretik. Interfazearen amaiera-puntuak interfaze-orduko eta gigabyteko fakturatzen du, atebidearenak ordea ez, eta alde horrek erabakitzen du kontua VPCren aldetik soilik sarbidea behar duten bolumen txikiko lan-karga askorentzat.