S3: स्थानीय नेटवर्क से पहुँच के लिए गेटवे या इंटरफ़ेस एंडपॉइंट

दो S3 एंडपॉइंट प्रकार डिज़ाइन समीक्षा में विनिमेय लगते हैं और क्लाइंट के साइट से बाहर होते ही बिल्कुल अलग व्यवहार करते हैं। गेटवे एंडपॉइंट VPC के भीतर रूट टेबल के साथ एकीकरण है, इसलिए साइट VPN से आया अनुरोध कभी निजी गंतव्य के रूप में वहाँ नहीं पहुँचता। इंटरफ़ेस एंडपॉइंट निजी पते नेटवर्क इंटरफ़ेस पर रखता है, जहाँ हाइब्रिड पथ वास्तव में पहुँच सकता है। आगे सब कुछ इस पर निर्भर है कि आपने इन दोनों में से कौन-सा चुना।

सेवा के नाम से नहीं, नेटवर्क प्रवेश से तय करें

वहाँ से शुरू करें जहाँ ट्रैफ़िक उत्पन्न होता है, क्योंकि एंडपॉइंट प्रकार इसी प्रश्न का उत्तर देता है। समर्थित VPC संदर्भ में कार्यभार गेटवे एंडपॉइंट का उपयोग कर सकता है और उसे कभी अपने निजी पते की आवश्यकता नहीं होती। साइट पर कार्यभार को ऐसा निजी पता चाहिए जिस पर वह रूट कर सके, और इंटरफ़ेस एंडपॉइंट ठीक यही देता है। यदि डिज़ाइन दोनों मिलाता है, तो दोनों एंडपॉइंट प्रकार एक ही VPC में सह-अस्तित्व में रह सकते हैं, और यह दोहराव नहीं बल्कि सामान्य व्यवस्था है।

उन्हें मिलाना समस्या नहीं है। यह मानना समस्या है कि एक प्रकार दूसरे को कवर करता है।

कुछ भी चुनने से पहले क्लाइंट का वर्गीकरण करें। VPC के भीतर कार्यक्षेत्र, NAT गेटवे के पीछे कंटेनर और शाखा कार्यालय में एप्लिकेशन तीन अलग स्रोत हैं, और केवल अंतिम ही हाइब्रिड प्रवेश को बाध्य करता है। इस वर्गीकरण को एंडपॉइंट सूची के बगल में लिखें ताकि अगला समीक्षक देख सके कि हर एंडपॉइंट क्यों मौजूद है।

इंटरफ़ेस पथ को शुरू से अंत तक क्या चाहिए

इंटरफ़ेस एंडपॉइंट निजी पतों तक पहुँच देता है, और पहुँच चार आवश्यकताओं में से केवल एक है। स्थानीय नेटवर्क को उन पतों तक मार्ग चाहिए, VPC पक्ष को वापसी मार्ग चाहिए, एंडपॉइंट के सुरक्षा समूह को स्रोत श्रेणी स्वीकार करनी चाहिए, और दोनों के बीच का कोई भी निरीक्षण उपकरण प्रवाह की अनुमति देगा। VPC में किसी भी इंस्टेंस तक का मार्ग इन चारों में से कोई एक भी सिद्ध नहीं करता।

दूर के छोर से पीछे की ओर काम करें। पुष्टि करें कि एंडपॉइंट के नेटवर्क इंटरफ़ेस आपके अपेक्षित सबनेट में मौजूद हैं, फिर पुष्टि करें कि उसका सुरक्षा समूह प्लेसहोल्डर नहीं बल्कि वास्तविक स्थानीय श्रेणी स्वीकार करता है। इसके बाद जाँचें कि टनल या सर्किट उसी दिशा में वापसी मार्ग ले जाता है। निरीक्षण वह चरण है जिसे लोग छोड़ देते हैं, क्योंकि कनेक्शन की अनुमति देने वाला मध्य उपकरण फिर भी बड़ा प्रतिक्रिया निकाय गिरा सकता है, और यह नीति की समस्या नहीं बल्कि थ्रूपुट की समस्या जैसा दिखता है।

बड़े डाउनलोड के बजाय उपलब्ध सबसे छोटे अधिकृत ऑपरेशन से परीक्षण करें। विफलता जल्दी और कम ट्रैफ़िक के साथ दिखती है।

DNS VPC का नहीं, क्वेरी स्रोत का अनुसरण करता है

जो एंडपॉइंट मौजूद है, वह स्वयं कुछ भी रीडायरेक्ट नहीं करता। एप्लिकेशन को वही नाम मिलता है जो उसके रिज़ॉल्वर ने लौटाया, और रिज़ॉल्वर उस दृश्य के अनुसार उत्तर देता है जिसे देखने की उसे अनुमति है। VPC के भीतर का इंस्टेंस और कार्यालय का लैपटॉप दो अलग प्रश्न पूछते हैं और दोनों को सही पर अलग उत्तर मिल सकते हैं। एक को सत्यापित करना और दूसरे के बारे में निष्कर्ष निकालना वह रास्ता है जिससे पास हुआ परीक्षण असफल परिनियोजन बन जाता है।

एंडपॉइंट की निजी DNS सेटिंग को डिज़ाइन का हिस्सा मानकर पढ़ें, लाइव होने के बाद चालू करने वाला चेकबॉक्स नहीं।

यदि कार्यालय के रिज़ॉल्वर को VPC का दृश्य देखना है, तो वह मार्ग जानबूझकर बनाया जाना चाहिए, आमतौर पर इनबाउंड रिज़ॉल्वर एंडपॉइंट के माध्यम से। एप्लिकेशन के अपने संदर्भ से क्वेरी करें और नोट करें कि किस रिज़ॉल्वर ने उत्तर दिया। VPC के भीतर बास्टियन होस्ट पर एकत्रित परिणाम केवल बास्टियन का दृश्य बताता है, और कुछ नहीं।

अनुमति पहुँच से अलग है

पहुँच योग्य एंडपॉइंट उन अनुरोधों के लिए त्रुटियाँ लौटाता है जिन्हें करने की प्रिंसिपल को अनुमति नहीं है, और इस त्रुटि का अर्थ है कि सिस्टम डिज़ाइन के अनुसार काम कर रहा है। पहचान नीति, बकेट नीति और कोई भी एंडपॉइंट नीति अपनी-अपनी परतों में मूल्यांकित होती हैं। नेटवर्क पहुँच ने कभी अनुमति नहीं दी।

डिज़ाइन को दो परिणामों पर स्वीकार करें: एक हानिरहित अधिकृत कॉल जो सफल होती है, और बहिष्कृत पहचान या बकेट के लिए अपेक्षित अस्वीकृति।

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

हर परिणाम के बगल में एंडपॉइंट का नाम, हल किया गया गंतव्य और नीति संदर्भ दर्ज करें, क्योंकि बाद में एक DNS परिवर्तन पूरे निष्कर्ष को अमान्य कर सकता है। कुछ भी प्रावधान करने से पहले दोनों एंडपॉइंट प्रकारों की वर्तमान लागत और परिचालन भार की तुलना करें। इंटरफ़ेस एंडपॉइंट हाइब्रिड निजी प्रवेश खरीदता है, यह सार्वभौमिक आवश्यकता नहीं है, और VPC के भीतर कार्यभार के लिए गेटवे पथ अक्सर बेहतर उत्तर रहता है। चुनाव प्रति क्लाइंट है और समीक्षा योग्य बना रहता है।