S3՝ դարպասի կամ ինտերֆեյսի վերջնակետ՝ տեղական ցանցից մուտքի համար

S3-ի երկու տեսակի վերջնակետեր նախագծի վերանայման ժամանակ փոխարինելի են թվում և բոլորովին այլ կերպ են վարվում, հենց հաճախորդը հայտնվում է տեղանքից դուրս։ Դարպասի վերջնակետը VPC-ի ներսում երթուղային աղյուսակի ինտեգրում է, ուստի տեղանքի VPN-ից եկած հարցումը երբեք չի հասնում դրան որպես մասնավոր նպատակակետ։ Ինտերֆեյսի վերջնակետը մասնավոր հասցեներ է դնում ցանցային ինտերֆեյսների վրա, ինչին հիբրիդային ուղին իսկապես կարող է հասնել։ Ամեն ինչ, ինչ հաջորդում է, կախված է նրանից, թե որն եք ընտրել երկուսից։

Որոշեք ցանցային մուտքով, ոչ թե ծառայության անունով

Սկսեք այնտեղից, որտեղ առաջանում է տրաֆիկը, որովհետև հենց այդ հարցին է պատասխանում վերջնակետի տեսակը։ Աջակցվող VPC համատեքստում աշխատանքային բեռը կարող է օգտագործել դարպասի վերջնակետ և երբեք իր սեփական մասնավոր հասցեի կարիքը չի ունենա։ Տեղանքում գտնվող աշխատանքային բեռին պետք է մասնավոր հասցե, որին կարող է երթուղավորել, և դա է տալիս ինտերֆեյսի վերջնակետը։ Եթե նախագիծը խառնում է երկուսն էլ, երկու վերջնակետի տեսակներն էլ կարող են գոյակցել մեկ VPC-ում, և դա սովորական դասավորություն է, ոչ թե կրկնօրինակում։

Դրանք խառնելը խնդիրը չէ։ Խնդիրը այն ենթադրությունն է, թե մի տեսակը ծածկում է մյուսին։

Դասակարգեք հաճախորդին նախքան որևէ բան ընտրելը։ VPC-ի ներսում աշխատանքային տարածքը, NAT դարպասի հետևում գտնվող կոնտեյները և մասնաճյուղի գրասենյակում գտնվող հավելվածը երեք տարբեր աղբյուրներ են, և միայն վերջինն է պարտադրում հիբրիդային մուտքը։ Գրեք այդ դասակարգումը վերջնակետերի ցանկի կողքին, որպեսզի հաջորդ վերանայողը տեսնի, թե ինչու է գոյություն ունենում յուրաքանչյուր վերջնակետ։

Ինչ է պահանջում ինտերֆեյսի ուղին սկզբից մինչև վերջ

Ինտերֆեյսի վերջնակետը հասանելիություն է տալիս մասնավոր հասցեներին, և հասանելիությունը չորս պահանջներից միայն մեկն է։ Տեղական ցանցին պետք է երթուղի դեպի այդ հասցեները, VPC-ի կողմին պետք է վերադարձի ուղի, վերջնակետի անվտանգության խումբը պետք է թույլ տա աղբյուրի տիրույթը, և նրանց միջև գտնվող ցանկացած ստուգող սարք պետք է թույլ տա հոսքը։ VPC-ի որևէ օրինակին տանող երթուղին չի ապացուցում այդ չորսից ոչ մեկը։

Աշխատեք հեռավոր ծայրից դեպի հետ։ Հաստատեք, որ վերջնակետի ցանցային ինտերֆեյսները գոյություն ունեն ձեր սպասած ենթացանցերում, ապա հաստատեք, որ դրա անվտանգության խումբը թույլ է տալիս իրական տեղական տիրույթը, այլ ոչ թե տեղապահ։ Այնուհետև ստուգեք, թե արդյոք թունելը կամ գիծը վերադարձի ուղին տանում է նույն ուղղությամբ։ Ստուգումը այն քայլն է, որը մարդիկ բաց են թողնում, որովհետև կապը թույլ տվող միջանկյալ սարքը դեռ կարող է գցել ավելի մեծ պատասխանի մարմինը, և դա թվում է թողունակության խնդիր, ոչ թե քաղաքականության։

Փորձարկեք հասանելի ամենափոքր լիազորված գործողությամբ, այլ ոչ թե մեծ ներբեռնմամբ։ Խափանումն ավելի շուտ է երևում և ավելի քիչ տրաֆիկով։

DNS-ը հետևում է հարցման աղբյուրին, ոչ թե VPC-ին

Գոյություն ունեցող վերջնակետն ինքնին ոչինչ չի վերահղում։ Հավելվածը ստանում է այն անունը, որը վերադարձրել է իր լուծիչը, և լուծիչը պատասխանում է ըստ այն տեսքի, որը նրան թույլատրվում է տեսնել։ VPC-ի ներսում գտնվող օրինակը և գրասենյակի նոթբուքը երկու տարբեր հարց են տալիս, և երկուսն էլ կարող են ճիշտ, բայց տարբեր պատասխաններ ստանալ։ Մեկը ստուգելը և մյուսի մասին եզրակացնելը հենց այն ճանապարհն է, որով անցած թեստը դառնում է ձախողված տեղադրում։

Կարդացեք վերջնակետի մասնավոր DNS կարգավորումը որպես նախագծի մաս, այլ ոչ թե որպես գործարկումից հետո միացվող վանդակ։

Եթե գրասենյակի լուծիչը պետք է տեսնի VPC-ի տեսքը, այդ ուղին պետք է կառուցվի դիտավորությամբ, սովորաբար մուտքային լուծիչի վերջնակետի միջոցով։ Հարցրեք հավելվածի սեփական համատեքստից և նշեք, թե որ լուծիչը պատասխանեց։ VPC-ի ներսում բաստիոն հոսթի վրա հավաքված արդյունքը նկարագրում է բաստիոնի տեսքը և ոչ այլ բան։

Թույլտվությունը առանձին է հասանելիությունից

Հասանելի վերջնակետը սխալներ է վերադարձնում այն հարցումների համար, որոնք հիմնական սուբյեկտին արգելված է անել, և այդ սխալը նշանակում է, որ համակարգը աշխատում է ըստ նախագծի։ Ինքնության քաղաքականությունը, դույլի քաղաքականությունը և ցանկացած վերջնակետային քաղաքականություն գնահատվում են իրենց սեփական շերտերում։ Ցանցային հասանելիությունը երբեք թույլտվություն չի տվել։

Ընդունեք նախագիծը երկու արդյունքով՝ անվնաս լիազորված կանչ, որը հաջողվում է, և սպասված մերժում բացառված ինքնության կամ դույլի համար։

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Գրանցեք վերջնակետի անունը, լուծված նպատակակետը և քաղաքականության համատեքստը յուրաքանչյուր արդյունքի կողքին, որովհետև հետագա DNS փոփոխությունը կարող է անվավեր դարձնել ամբողջ եզրակացությունը։ Համեմատեք երկու վերջնակետերի տեսակների ընթացիկ արժեքը և գործառնական ծանրությունը նախքան որևէ բան տրամադրելը։ Ինտերֆեյսի վերջնակետը գնում է հիբրիդային մասնավոր մուտք, այն համընդհանուր պահանջ չէ, և դարպասի ուղին հաճախ մնում է ավելի լավ պատասխան VPC-ի ներսի աշխատանքային բեռների համար։ Ընտրությունը յուրաքանչյուր հաճախորդի համար է և մնում է վերանայելի։