S3: yhdyskäytävä- vai rajapintapäätepiste paikallisesta verkosta käyttämiseen

Kaksi S3-päätepistetyyppiä näyttävät suunnittelukatsauksessa vaihtokelpoisilta ja käyttäytyvät täysin eri tavoin, kun asiakas on toimipaikan ulkopuolella. Yhdyskäytäväpäätepiste on VPC:n sisäinen reititystaulun integraatio, joten toimipaikan VPN:stä tuleva pyyntö ei koskaan saavu siihen yksityisenä kohteena. Rajapintapäätepiste asettaa yksityiset osoitteet verkkorajapinnoille, ja sinne hybridipolku voi todella päästä. Kaikki seuraava riippuu siitä, kumman kahdesta valitsit.

Päätä verkkosisäänkäynnin, älä palvelun nimen perusteella

Aloita siitä, missä liikenne syntyy, koska juuri siihen kysymykseen päätepistetyyppi vastaa. Tuetussa VPC-kontekstissa oleva työkuorma voi käyttää yhdyskäytäväpäätepistettä eikä tarvitse koskaan omaa yksityistä osoitetta. Toimipaikalla oleva työkuorma tarvitsee yksityisen osoitteen, johon se voi reitittää, ja juuri sen rajapintapäätepiste tarjoaa. Jos suunnittelu sekoittaa molemmat, molemmat päätepistetyypit voivat olla samassa VPC:ssä, ja se on normaali järjestely eikä päällekkäisyyttä.

Niiden sekoittaminen ei ole ongelma. Ongelma on olettaa, että yksi tyyppi kattaa toisen.

Luokittele asiakas ennen kuin valitset mitään. VPC:n sisällä oleva työtila, NAT-yhdyskäytävän takana oleva kontti ja sivukonttorin sovellus ovat kolme eri lähdettä, ja vain viimeinen pakottaa hybridisisäänkäynnin. Kirjoita tämä luokittelu päätepisteluettelon viereen, jotta seuraava arvioija näkee, miksi kukin päätepiste on olemassa.

Mitä rajapintapolku vaatii päästä päähän

Rajapintapäätepiste antaa pääsyn yksityisiin osoitteisiin, ja pääsy on vain yksi neljästä vaatimuksesta. Paikallinen verkko tarvitsee reitin näihin osoitteisiin, VPC:n puoli tarvitsee paluupolun, päätepisteen suojausryhmän on hyväksyttävä lähdealue, ja minkä tahansa niiden välissä olevan tarkastuslaitteen on sallittava virta. Reitti johonkin VPC:n instanssiin ei todista yhtäkään neljästä.

Työskentele kauimmasta päästä taaksepäin. Varmista, että päätepisteen verkkorajapinnat ovat odotetuissa aliverkoissa, ja varmista sitten, että sen suojausryhmä hyväksyy todellisen paikallisen alueen eikä paikkamerkkiä. Tarkista sen jälkeen, kuljettaako tunneli tai piiri paluupolun samaan suuntaan. Tarkastus on se vaihe, jonka ihmiset ohittavat, koska yhteyden salliva välilaite voi silti pudottaa suuremman vastauksen rungon, ja se näyttää läpäisykykyongelmalta eikä käytäntöongelmalta.

Testaa pienimmällä saatavilla olevalla valtuutetulla toiminnolla suuren latauksen sijaan. Vika näkyy aikaisemmin ja vähemmällä selitettävällä liikenteellä.

DNS seuraa kyselyn lähdettä, ei VPC:tä

Olemassa oleva päätepiste ei ohjaa mitään uudelleen itsestään. Sovellus saa nimen, jonka sen ratkaisija palautti, ja ratkaisija vastaa sen näkymän mukaan, jonka se saa nähdä. VPC:n sisällä oleva instanssi ja toimiston kannettava esittävät kaksi eri kysymystä ja molemmat voivat saada oikeat mutta erilaiset vastaukset. Toisen vahvistaminen ja toisesta päättäminen on se tapa, jolla läpäisty testi muuttuu epäonnistuneeksi käyttöönotoksi.

Lue päätepisteen yksityinen DNS-asetus osana suunnittelua, älä valintaruutuna, joka otetaan käyttöön julkaisun jälkeen.

Jos toimiston ratkaisijan on nähtävä VPC:n näkymä, se polku on rakennettava tarkoituksella, tavallisesti saapuvan ratkaisijan päätepisteen kautta. Kysy sovelluksen omasta kontekstista ja kirjaa, mikä ratkaisija vastasi. VPC:n sisällä bastion-isännällä kerätty tulos kuvaa bastionin näkymää eikä mitään muuta.

Käyttöoikeus on erillään pääsystä

Tavoitettavissa oleva päätepiste palauttaa virheitä pyynnöille, joita päämiehen ei ole sallittua tehdä, ja se virhe tarkoittaa, että järjestelmä toimii suunnitellusti. Identiteettikäytäntö, bucket-käytäntö ja mahdollinen päätepistekäytäntö arvioidaan omissa kerroksissaan. Verkkopääsy ei ole koskaan antanut käyttöoikeutta.

Hyväksy suunnittelu kahdella tuloksella: harmiton valtuutettu kutsu, joka onnistuu, ja odotettu hylkäys poissuljetulle identiteetille tai bucketille.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Kirjaa päätepisteen nimi, ratkaistu kohde ja käytäntökonteksti jokaisen tuloksen viereen, koska yksi myöhempi DNS-muutos voi mitätöidä koko johtopäätöksen. Vertaa molempien päätepistetyyppien nykyistä kustannusta ja operatiivista painoa ennen kuin valmistelet mitään. Rajapintapäätepiste ostaa hybridin yksityisen sisäänkäynnin, se ei ole yleinen vaatimus, ja yhdyskäytäväpolku jää usein paremmaksi vastaukseksi VPC:n sisäisille työkuormille. Valinta tehdään asiakaskohtaisesti ja se pysyy uudelleenarvioitavana.