S3: atebide puntua edo interfaze puntua tokiko saretik sartzeko

Bi S3 puntu mota trukagarriak dirudite diseinu-berrikuspen batean, eta erabat desberdin jokatzen dute bezeroa gunetik kanpo dagoenean. Atebide puntua VPC baten barruko bideratze-taulako integrazio bat da, beraz guneko VPN batetik datorren eskaera ez da inoiz iristen hara helmuga pribatu gisa. Interfaze puntuak helbide pribatuak jartzen ditu sareko interfazeetan, eta hara bai iristen da bide hibrido bat. Jarraian datorren guztia bi horietatik zein aukeratu duzun araberakoa da.

Erabaki sareko sarreraren arabera, ez zerbitzuaren izenaren arabera

Hasi trafikoa sortzen den lekutik, horixe baita puntu motak erantzuten duen galdera. VPC testuinguru onartu batean dagoen lan-karga batek atebide puntua erabil dezake eta ez du inoiz bere helbide pribaturik behar. Guneko lan-karga batek bideratu dezakeen helbide pribatu bat behar du, eta horixe ematen du interfaze puntuak. Diseinu batek biak nahasten baditu, bi puntu motak elkarrekin bizi daitezke VPC bakarrean, eta hori ohiko antolaketa da, ez bikoizketa.

Haiek nahastea ez da arazoa. Arazoa da pentsatzea mota batek bestea estaltzen duela.

Sailkatu bezeroa ezer aukeratu aurretik. VPC barruko lan-espazio bat, NAT atebide baten atzeko edukiontzi bat eta sukurtsal bulegoko aplikazio bat hiru iturri desberdin dira, eta azkenak bakarrik behartzen du sarrera hibridoa. Idatzi sailkapen hori puntuen inbentarioaren ondoan, hurrengo berrikusleak puntu bakoitza zergatik dagoen ikus dezan.

Zer eskatzen du interfaze bideak hasieratik bukaerara

Interfaze puntuak helbide pribatuetarako irisgarritasuna ematen du, eta irisgarritasuna lau baldintzetako bat baino ez da. Tokiko sareak helbide horietarako bide bat behar du, VPC aldeak itzulera-bide bat behar du, puntuaren segurtasun-taldeak iturriaren barrutia onartu behar du, eta bien arteko edozein ikuskapen-gailuk fluxua baimendu behar du. VPCko edozein instantziarako bideak ez du lau horietako bat ere frogatzen.

Lan egin urruneko muturretik atzera. Egiaztatu puntuaren sareko interfazeak espero dituzun azpisareetan daudela, eta gero egiaztatu bere segurtasun-taldeak tokiko barruti erreala onartzen duela, ez leku-marka bat. Ondoren egiaztatu tunelak edo zirkuituak itzulera-bidea norabide berean daramala. Ikuskapena jendeak saltatzen duen urratsa da, konexioa baimentzen duen bitarteko gailu batek oraindik erantzun-gorputz handiagoa bota dezakeelako, eta hori errendimendu-arazo bat ematen du, ez politika-arazo bat.

Probatu erabilgarri dagoen eragiketa baimendurik txikienarekin, deskarga handi batekin beharrean. Hutsegitea lehenago agertzen da eta azaltzeko trafiko gutxiagorekin.

DNSk kontsultaren iturria jarraitzen du, ez VPCa

Dagoen puntu batek ez du bere kabuz ezer birbideratzen. Aplikazioak bere ebazpenak itzulitako izena jasotzen du, eta ebazpenak ikusteko baimena duen ikuspegiaren arabera erantzuten du. VPC barruko instantzia batek eta bulegoko ordenagailu eramangarri batek bi galdera desberdin egiten dituzte eta biek erantzun zuzenak eta desberdinak jaso ditzakete. Bata egiaztatzea eta besteaz ondorioztatzea da gainditutako proba bat huts egindako inplementazio bihurtzeko bidea.

Irakurri puntuaren DNS pribatuaren ezarpena diseinuaren parte gisa, ez abiaraztearen ondoren gaitu beharreko kontrol-lauki gisa.

Bulegoko ebazpenak VPCren ikuspegia ikusi behar badu, bide hori nahita eraiki behar da, normalean ebazpen sarrerako puntu baten bidez. Egin kontsulta aplikazioaren beraren testuingurutik eta idatzi zein ebazpenek erantzun zuen. VPC barruko bastioi ostalari batean bildutako emaitzak bastioiaren ikuspegia deskribatzen du eta ez beste ezer.

Baimena irisgarritasunez bereizita dago

Irisgarri den puntu batek nagusiak egiteko baimenik ez dituen eskaeretarako erroreak itzultzen ditu, eta errore horrek sistemak diseinatutako bezala funtzionatzen duela esan nahi du. Identitate-politika, kupel-politika eta edozein puntu-politika beren geruzetan ebaluatzen dira. Sareko sarbideak ez du inoiz baimenik eman.

Onartu diseinua bi emaitzetan oinarrituta: arrakasta duen deialdi baimendu eta kaltegabe bat, eta baztertutako identitate edo kupel baterako espero den ukapena.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Erregistratu puntuaren izena, ebatzitako helmuga eta politikaren testuingurua emaitza bakoitzaren ondoan, geroagoko DNS aldaketa batek ondorio osoa baliogabetu baitezake. Alderatu bi puntu moten egungo kostua eta eragiketa-pisua ezer hornitu aurretik. Interfaze puntuak sarrera pribatu hibrido bat erosten du, ez da baldintza unibertsala, eta atebide bidea sarritan erantzun hobea izaten da VPC barruko lan-kargetarako. Aukera bezero bakoitzeko da eta berrikusgarri jarraitzen du.