S3: punto de enlace de pasarela ou de interface para o acceso desde a rede local

Dous tipos de punto de enlace S3 parecen intercambiables nunha revisión de deseño e compórtanse de forma totalmente distinta en canto o cliente queda fóra da sede. Un punto de enlace de pasarela é unha integración coa táboa de rutas dentro dunha VPC, así que unha solicitude desde unha VPN de sede nunca chega a el como destino privado. Un punto de enlace de interface coloca enderezos privados nas interfaces de rede, algo que unha ruta híbrida si pode alcanzar. Todo o que segue depende de cal dos dous escolleu.

Decida pola entrada de rede, non polo nome do servizo

Comece por onde se orixina o tráfico, porque esa é a pregunta que responde o tipo de punto de enlace. Unha carga de traballo nun contexto de VPC compatible pode usar un punto de enlace de pasarela e nunca necesita un enderezo privado propio. Unha carga de traballo na sede necesita un enderezo privado ao que poida encamiñar, e iso é o que proporciona un punto de enlace de interface. Se un deseño mestura ambos, os dous tipos de punto de enlace poden convivir nunha mesma VPC, e iso é unha disposición normal e non unha duplicación.

Mesturalos non é o problema. Supoñer que un tipo cobre o outro si o é.

Clasifique o cliente antes de escoller nada. Un espazo de traballo dentro da VPC, un contedor detrás dunha pasarela NAT e unha aplicación nunha oficina de sucursal son tres orixes distintas, e só a última obriga á entrada híbrida. Escriba esa clasificación xunto ao inventario de puntos de enlace para que o seguinte revisor vexa por que existe cada punto de enlace.

Que esixe a ruta de interface de extremo a extremo

Un punto de enlace de interface outorga accesibilidade a enderezos privados, e a accesibilidade é só un de catro requisitos. A rede local necesita unha ruta cara a eses enderezos, o lado da VPC necesita unha ruta de retorno, o grupo de seguridade do punto de enlace debe admitir o rango de orixe, e calquera dispositivo de inspección entre ambos debe permitir o fluxo. Unha ruta cara a calquera instancia da VPC non demostra ningún dos catro.

Traballa desde o extremo afastado cara atrás. Confirma que as interfaces de rede do punto de enlace existen nas subredes que esperas e logo confirma que o seu grupo de seguridade admite o rango local real e non un marcador de posición. Despois comproba se o túnel ou o circuíto transporta a ruta de retorno na mesma dirección. A inspección é o paso que a xente omite, porque un dispositivo intermedio que permite a conexión aínda pode descartar un corpo de resposta maior, e iso parece un problema de rendemento e non de política.

Proba coa operación autorizada máis pequena dispoñible en lugar dunha descarga grande. O fallo aparece antes e con menos tráfico que xustificar.

O DNS segue a orixe da consulta, non a VPC

Un punto de enlace que existe non redirixe nada por si mesmo. A aplicación recibe o nome que devolveu o seu resolutor, e o resolutor responde segundo a vista que se lle permite ver. Unha instancia dentro da VPC e un portátil na oficina fan dúas preguntas distintas e ambos poden obter respostas correctas e diferentes. Verificar unha e concluír sobre a outra é a forma en que unha proba superada se converte nunha implantación fallida.

Lea a configuración de DNS privado do punto de enlace como parte do deseño, non como unha caixa que se activa despois da posta en marcha.

Se o resolutor da oficina ten que ver a vista da VPC, esa ruta debe construírse a propósito, normalmente mediante un punto de enlace de entrada de resolutor. Consulte desde o propio contexto da aplicación e anote que resolutor respondeu. Un resultado recollido nun host bastión dentro da VPC describe a vista do bastión e nada máis.

O permiso está separado da accesibilidade

Un punto de enlace accesible devolve erros para as solicitudes que o principal non ten permiso para facer, e ese erro significa que o sistema funciona segundo o deseñado. A política de identidade, a política do bucket e calquera política do punto de enlace avalíanse nas súas propias capas. O acceso de rede nunca outorgou un permiso.

Acepte o deseño con dous resultados: unha chamada autorizada inofensiva que ten éxito e unha denegación esperada para unha identidade ou un bucket excluído.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Rexistre o nome do punto de enlace, o destino resolto e o contexto de política xunto a cada resultado, porque un cambio posterior de DNS pode invalidar toda a conclusión. Compare o custo actual e o peso operativo dos dous tipos de punto de enlace antes de aprovisionar nada. Un punto de enlace de interface compra unha entrada privada híbrida, non é un requisito universal, e a ruta de pasarela a miúdo segue a ser a mellor resposta para cargas de traballo dentro da VPC. A elección é por cliente e segue sendo revisable.