Geata S3 nó críochphointe comhéadain do chliant ar an áitreabh?

Ní fadhb ródaithe í S3 a shroicheadh ó líonra oifige trí VPN suímh nach féidir le ród statach a réiteach léi féin. Ceanglaítear críochphointe geata le táblaí ródaithe agus freastalaíonn sé ar iarratais a thagann chun cinn laistigh den VPC. Cuireann críochphointe comhéadain comhéadain líonra leaisteacha le seoltaí príobháideacha i do fholíonraí, agus is féidir na seoltaí sin a shroicheadh ón áitreabh thar VPN nó Direct Connect. Cinneann an áit a dtosaíonn an t-iarratas cé acu den dá rud a theastaíonn uait i ndáiríre, agus leanann an obair DNS, grúpa slándála agus polasaí ón bhfreagra sin.

Deighil na cineálacha críochphointe de réir an áit a dtosaíonn an t-iarratas

Tagann críochphointe geata chun solais mar iontráil i dtábla ródaithe a threoraíonn chuig liosta réimíre bainistithe. Níl aon chomhéadan líonra aige, ná grúpa slándála, ná seoladh príobháideach dá chuid féin, agus is ar an gcúis sin go díreach nach féidir le hóstach ar an áitreabh ródú chuige: níl aon rud ar an taobh eile le ródú chuige. Sroicheann trácht ó laistigh den VPC S3 toisc go seolann tábla ródaithe an fholíonra an réimír sin chuig an gcríochphointe. Níl aon iontráil dá leithéid le leanúint ag trácht ó áit ar bith eile.

Is éard is críochphointe comhéadain ann ná sraith comhéadan líonra i bhfolíonraí a roghnaíonn tú, gach ceann le seoladh príobháideach ón bhfolíonra sin agus grúpa slándála ceangailte. Sin an chruth is féidir le cliant hibrideach a úsáid, toisc gur ceann scríbe coitianta é ar féidir le do thollán paicéid a iompar chuige. Ciallaíonn sé freisin go n-ídíonn an críochphointe seoltaí sa fholíonra agus go bhféadfadh sé iad a rith amach.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

Léigh an colún Type seachas an t-ainm. Is minic a choinníonn VPC amháin an dá chineál don tseirbhís chéanna, agus is é an iontráil chomhéadain an ceann a theastaíonn ó d’fheidhmchlár ar an áitreabh.

Tóg an chonair chuig seoladh an chomhéadain sula dtástáil tú S3

Caithfidh trí rud a bheith fíor ag an am céanna: tá ród ag an ródaire ar an áitreabh chuig folíonra an chríochphointe, sroicheann an chonair fillte ón bhfolíonra sin líonra an chliaint, agus admhaíonn grúpa slándála an chríochphointe raon foinse an chliaint. Fós féidir le ACL líonra an fholíonra an paicéad a chaitheamh i ndiaidh na dtrí rud a bheith sásaithe, mar sin seiceáil é mar an gceathrú mír seachas mar smaoineamh déanach.

Ní chruthaíonn ród oibre chuig cás EC2 éigin sa VPC aon rud díobh seo. Ní thaispeánann sé ach go bhfuil an tollán suas, arb é an t-aon chuid den chonair a raibh a fhios agat cheana. Cruthaigh seoladh an chríochphointe ar leithligh, ansin cruthaigh go réitíonn an t-ainm chuige.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

Taispeánann an chéad ordú cén comhéadan a d’úsáidfeadh an cliant. Cruthaíonn an dara ceann croitheadh láimhe TCP. Cruthaíonn an tríú ceann go gcríochnaíonn TLS le teastas atá bailí d’ainm an chríochphointe, agus sin an seiceáil a mbeireann ar sheoladh mícheart sula gcuireann tú an milleán ar cheadanna.

Socraigh cén freagra DNS a fhaigheann an feidhmchlár

Ní atreoraíonn críochphointe comhéadain atá sa VPC SDK ar an áitreabh ann féin. Úsáideann an cliant ceachtar an ainm atá sonrach don chríochphointe a fhoilsíonn AWS dó, nó crios óstáilte príobháideach a rinne tú inréitithe ón oifig d’aon ghnó.

Le haghaidh réitigh hibrideach, teastaíonn conair thacaithe ón réiteoir ar an áitreabh isteach i radharc DNS an VPC, de ghnáth trí chríochphointe isteach Resolver. Is é cumasú DNS príobháideach gan tuiscint a fháil ar cé na foinsí ceiste a mbíonn tionchar aige orthu an bealach a dtosaíonn cuardach ag filleadh seoladh nach féidir leis an oifig a shroicheadh. Athraíonn an socrú freagraí do cheisteanna a thagann trí réiteoir an VPC, ní do gach cliant i ngach áit.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

Rith an dá cheann ar óstach an fheidhmchláir, ní ar bhosca léime sa VPC. Is é an réiteoir a fhreagraíonn ansin an ceann a úsáideann d’ualach oibre, agus is é freagra difriúil ó óstach difriúil an fhoinse mearbhaill is coitianta sa dearadh seo.

Ní údarú é inrochtaineacht

Teastaíonn príomhúdar údaraithe agus cead buicéid infheidhme fós ó iarratas a shroicheann an críochphointe. Is féidir le polasaí críochphointe an méid a cheadaíonn an críochphointe a chúngú, agus is féidir le polasaí buicéid é a chúngú arís. Ní deirtear aon rud faoi na réada ar féidir leis an nglaoiteoir iad a léamh tríd an gcomhéadan a shroicheadh.

Tástáil an dá threo: glao údaraithe neamhdhíobhálach amháin i gcoinne an bhuicéid atá beartaithe, agus glao amháin a bhfuiltear ag súil go ndiúltófar dó d’aitheantas nó d’acmhainn lasmuigh den pholasaí. Coinnigh ainm an chríochphointe, an seoladh réitithe agus comhthéacs an pholasaí leis an toradh ionas gur féidir leis an gcéad duine eile é a atáirgeadh. Sábhálann diúltú a ainmníonn cineál an pholasaí uair an chloig de bhuille faoi thuairim.

Ar deireadh, déan praghsáil ar an dá rogha sula soláthraíonn tú. Gearrtar críochphointe comhéadain in aghaidh uaire comhéadain agus in aghaidh ghigibheart, ach ní ghearrtar críochphointe geata, agus cinneann an difríocht sin an cheist do go leor ualach oibre íseal-toirte a bhfuil rochtain ó thaobh an VPC de dhíth orthu amháin.