S3: poarte- of ynterface-einpunt foar tagong fan it lokale netwurk

Twa soarten S3-einpunten lykje by in ûntwerpfriemeling útwikselber en gedrage har folslein oars sadree't de klant bûten it terrein sit. In poarteeinpunt is in yntegraasje mei de rûtetabel binnen in VPC, dat in fersyk fan in terrein-VPN komt dêr nea as privee bestimming. In ynterface-einpunt set privee adressen op netwurkynterfaces, en dat kin in hybride paad wol berikke. Alles wat folget hinget ôf fan hokker fan de twa jo keazen hawwe.

Beslis neffens de netwurktagong, net neffens de tsjinstnamme

Begjin dêr't it ferkear ûntstiet, want dat is de fraach dy't it einpunttype beantwurdet. In wurklêst yn in stipe VPC-kontekst kin in poarteeinpunt brûke en hat nea in eigen privee adres nedich. In wurklêst op it terrein hat in privee adres nedich dêr't it nei rûte kin, en dat biedt in ynterface-einpunt. As in ûntwerp beide mingskelt, kinne beide einpunttypen yn ien VPC njonkeninoar bestean, en dat is in normale regeling en gjin dûbeljen.

Se mingskje is net it probleem. Oannimme dat ien type it oare dekt, is it.

Klassifisearje de klant foardat jo eat kieze. In wurkromte binnen de VPC, in kontener efter in NAT-poarte en in applikaasje yn in filiaal binne trije ferskillende boarnen, en allinnich de lêste twingt de hybride tagong ôf. Skriuw dy klassifikaasje njonken de einpuntynventaris, sadat de folgjende beoardieler sjocht wêrom't elk einpunt bestiet.

Wat it ynterfacepaad fan begjin oant ein fereasket

In ynterface-einpunt jout berikberens nei privee adressen, en berikberens is mar ien fan fjouwer easken. It lokale netwurk hat in rûte nei dy adressen nedich, de VPC-kant hat in werompaad nedich, de befeiligingsgroep fan it einpunt moat it boarneberik tastean, en elk ynspeksje-apparaat dertusken moat de stream tastean. In rûte nei in eksimplaar yn de VPC bewiist gjin fan de fjouwer.

Wurkje fan it fiere ein werom. Befestigje dat de netwurkynterfaces fan it einpunt yn de subnetten besteane dy't jo ferwachtsje, en befestigje dan dat syn befeiligingsgroep it echte lokale berik tastiet en net in plakhâlder. Kontrollearje dêrnei oft de tunnel of it circuit it werompaad yn deselde rjochting draacht. Ynspeksje is de stap dy't minsken oerslaan, want in middenkast dy't de ferbining tastiet, kin noch hieltyd in grutter antwurddiel falle litte, en dat liket in trochfoerprobleem en net in beliedsprobleem.

Test mei de lytste tastiene operaasje dy't beskikber is, net mei in grutte download. De flater docht him earder foar en mei minder ferkear om te ferklearjen.

DNS folget de fraachboarne, net de VPC

In einpunt dat bestiet, ferwiist sels neat. De applikaasje krijt de namme dy't syn oplosser weromjoech, en de oplosser antwurdet neffens it sicht dat er sjen mei. In eksimplaar binnen de VPC en in laptop op kantoar stelle twa ferskillende fragen en kinne beide juste, ferskillende antwurden krije. Ien ferifiearje en oer de oare konkludearje is hoe't in slagge test in mislearre ymplemintaasje wurdt.

Lês de privee DNS-ynstelling fan it einpunt as diel fan it ûntwerp, net as in oanfinkfakje om nei de lansearring oan te setten.

As de kantoaroplosser it sicht fan de VPC sjen moat, moat dat paad bewust boud wurde, meastentiids fia in yngeand oplosser-einpunt. Freegje fan de eigen kontekst fan de applikaasje en notearje hokker oplosser antwurde. In resultaat dat sammele is op in bastionhost binnen de VPC beskriuwt it sicht fan it bastion en neat oars.

Tastimming is apart fan berikberens

In berikber einpunt jout flaters foar fersiken dy't de haadpersoan net dwaan mei, en dy flater betsjut dat it systeem wurket sa't it ûntwurpen is. Identiteitsbelied, bakbelied en elk einpuntbelied wurde yn har eigen lagen beoardiele. Netwurktagong hat nea in tastimming jûn.

Akseptearje it ûntwerp op twa resultaten: in harmless tastein oproep dy't slagget, en in ferwachte wegering foar in útsletten identiteit of bak.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Notearje de einpuntnamme, de oploste bestimming en de beliedskontekst njonken elk resultaat, want ien lettere DNS-feroaring kin de hiele konklúzje ûnjildich meitsje. Fergelykje de hjoeddeistige kosten en de operasjonele lêst fan beide einpunttypen foardat jo eat leverje. In ynterface-einpunt keapet in hybride privee tagong, it is gjin universele eask, en it poartepaad bliuwt faak it bettere antwurd foar wurklêsten binnen de VPC. De kar is per klant en bliuwt te beoardieljen.