S3: نقطه پایانی دروازه یا نقطه پایانی واسط برای دسترسی از شبکه محلی

دو نوع نقطه پایانی S3 در یک بازبینی طراحی قابل تعویض به نظر می‌رسند، اما وقتی مشتری خارج از سایت قرار می‌گیرد رفتار کاملاً متفاوتی دارند. نقطه پایانی دروازه ادغامی با جدول مسیریابی درون یک VPC است، بنابراین درخواست از VPN سایت هرگز به عنوان مقصد خصوصی به آن نمی‌رسد. نقطه پایانی واسط آدرس‌های خصوصی را روی واسط‌های شبکه قرار می‌دهد، و یک مسیر ترکیبی واقعاً می‌تواند به آن برسد. همه چیز پس از این به انتخاب شما از آن دو بستگی دارد.

بر اساس ورودی شبکه تصمیم بگیرید، نه نام سرویس

از جایی شروع کنید که ترافیک منشأ می‌گیرد، زیرا نوع نقطه پایانی پاسخ همین پرسش است. یک بار کاری در بستر VPC پشتیبانی‌شده می‌تواند از نقطه پایانی دروازه استفاده کند و هرگز به آدرس خصوصی خودش نیاز ندارد. بار کاری در محل به آدرس خصوصی نیاز دارد که بتواند به آن مسیریابی کند، و نقطه پایانی واسط دقیقاً همین را فراهم می‌کند. اگر یک طراحی هر دو را ترکیب کند، هر دو نوع نقطه پایانی می‌توانند در یک VPC هم‌زیستی داشته باشند، و این ترتیبی عادی است نه تکرار.

ترکیب آن‌ها مشکل نیست. این تصور که یک نوع دیگری را پوشش می‌دهد مشکل است.

پیش از انتخاب هر چیز، مشتری را دسته‌بندی کنید. یک فضای کاری درون VPC، یک کانتینر پشت دروازه NAT و یک برنامه در دفتر شعبه سه منبع متفاوت‌اند و تنها مورد آخر ورود ترکیبی را تحمیل می‌کند. این دسته‌بندی را کنار فهرست نقاط پایانی بنویسید تا بازبین بعدی ببیند هر نقطه پایانی چرا وجود دارد.

مسیر واسط از ابتدا تا انتها چه می‌خواهد

نقطه پایانی واسط دسترسی به آدرس‌های خصوصی را می‌دهد، و دسترسی فقط یکی از چهار نیاز است. شبکه محلی به مسیری به آن آدرس‌ها نیاز دارد، سمت VPC به مسیر بازگشت نیاز دارد، گروه امنیتی نقطه پایانی باید محدوده منبع را بپذیرد، و هر دستگاه بازرسی میان آن دو باید جریان را مجاز کند. مسیر به فلان نمونه در VPC هیچ‌یک از آن چهار را اثبات نمی‌کند.

از انتهای دور به عقب کار کنید. تأیید کنید که واسط‌های شبکه نقطه پایانی در زیرشبکه‌های مورد انتظار وجود دارند، سپس تأیید کنید که گروه امنیتی آن محدوده محلی واقعی را می‌پذیرد نه یک جای‌نگهدار. سپس بررسی کنید که تونل یا مدار مسیر بازگشت را در همان جهت حمل می‌کند. بازرسی همان مرحله‌ای است که مردم از آن می‌گذرند، زیرا یک جعبه میانی که اتصال را مجاز می‌کند باز هم می‌تواند بدنه پاسخ بزرگ‌تری را بیندازد، و این شبیه مشکل توان عملیاتی است نه مشکل سیاست.

با کوچک‌ترین عملیات مجاز موجود آزمایش کنید نه با یک دانلود بزرگ. خرابی زودتر و با ترافیک کمتری برای توضیح ظاهر می‌شود.

DNS از منبع پرس‌وجو پیروی می‌کند، نه از VPC

نقطه پایانی که وجود دارد به‌خودی‌خود چیزی را تغییر مسیر نمی‌دهد. برنامه هر نامی را که حل‌کننده‌اش برگردانده دریافت می‌کند، و حل‌کننده بر اساس نمایی که اجازه دیدنش را دارد پاسخ می‌دهد. یک نمونه درون VPC و یک لپ‌تاپ در دفتر دو پرسش متفاوت می‌پرسند و هر دو می‌توانند پاسخ‌های درست و متفاوت بگیرند. تأیید یکی و نتیجه‌گیری درباره دیگری همان راهی است که یک آزمون موفق به استقرار ناموفق تبدیل می‌شود.

تنظیم DNS خصوصی نقطه پایانی را به‌عنوان بخشی از طراحی بخوانید، نه به‌عنوان کادری که پس از راه‌اندازی فعال می‌شود.

اگر حل‌کننده دفتر باید نمای VPC را ببیند، آن مسیر باید عمداً ساخته شود، معمولاً از طریق نقطه پایانی ورودی حل‌کننده. از بستر خود برنامه پرس‌وجو کنید و یادداشت کنید کدام حل‌کننده پاسخ داد. نتیجه‌ای که روی میزبان باستیون درون VPC گردآوری شود فقط نمای باستیون را توصیف می‌کند و چیزی دیگر.

مجوز از دسترسی جدا است

نقطه پایانی در دسترس برای درخواست‌هایی که مجاز نیستند خطا برمی‌گرداند، و این خطا یعنی سیستم همان‌طور که طراحی شده کار می‌کند. سیاست هویت، سیاست سطل و هر سیاست نقطه پایانی در لایه‌های خودشان ارزیابی می‌شوند. دسترسی شبکه هرگز مجوزی نداده است.

طراحی را بر پایه دو نتیجه بپذیرید: یک فراخوان مجاز بی‌ضرر که موفق می‌شود، و یک رد انتظاری برای هویت یا سطل مستثنی.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

نام نقطه پایانی، مقصد حل‌شده و بستر سیاست را کنار هر نتیجه ثبت کنید، زیرا یک تغییر DNS بعدی می‌تواند کل نتیجه را باطل کند. پیش از فراهم‌کردن هر چیزی، هزینه کنونی و وزن عملیاتی هر دو نوع نقطه پایانی را مقایسه کنید. نقطه پایانی واسط یک ورود خصوصی ترکیبی می‌خرد، نیازی جهانی نیست، و مسیر دروازه اغلب برای بارهای کاری درون VPC پاسخ بهتری می‌ماند. انتخاب برای هر مشتری است و قابل بازنگری می‌ماند.