S3-gátt eða viðmótsendapunktur fyrir biðlara á staðnum?

Að ná í S3 frá skrifstofuneti yfir staðar-VPN er ekki leiðarvandamál sem stök leið getur leyst ein og sér. Gáttarendapunktur er tengdur leiðartöflum og þjónar beiðnum sem eiga uppruna sinn innan VPC. Viðmótsendapunktur setur teygjanleg netviðmót með einkaaðsetrum í netþínum þínum, og þessi aðsetur eru aðgengileg frá staðnum yfir VPN eða Direct Connect. Hvar beiðnin hefst ræður því hvorn þú þarft í raun og veru, og DNS-, öryggishóps- og stefnuverkið fylgir því svari.

Aðgreindu endapunktategundirnar eftir því hvar beiðnin hefst

Gáttarendapunktur birtist sem færsla í leiðartöflu sem bendir á stýrðan forskeytalista. Hann hefur ekkert netviðmót, engan öryggishóp og ekkert eigið einkaaðsetur, og þess vegna getur hýsill á staðnum ekki beint leið þangað: hinum megin er ekkert sem hægt er að beina leið að. Umferð innan VPC nær til S3 vegna þess að leiðartafla netþínsins sendir það forskeyti á endapunktinn. Umferð frá öðrum stað á enga slíka færslu til að fylgja.

Viðmótsendapunktur er mengi netviðmóta í netþínum sem þú velur, hvert með einkaaðsetur úr þeim netþí og tengdan öryggishóp. Það er lögunin sem blendingsbiðlari getur notað, því það er venjulegur áfangastaður sem göngin þín geta borið pakka til. Það þýðir líka að endapunkturinn eyðir aðsetrum í netþínum og getur klárað þau.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

Lestu Type-dálkinn frekar en nafnið. Eitt VPC heldur oft báðum tegundum fyrir sömu þjónustu, og færslan sem forritið þitt á staðnum þarf er viðmótsfærslan.

Byggðu slóðina að viðmótsaðsetrinu áður en þú prófar S3

Þrír hlutir verða að vera sannir samtímis: beinirinn á staðnum hefur leið að netþí endapunktsins, bakleiðin frá þeim netþí nær til biðlaransets, og öryggishópur endapunktsins leyfir upprunasvið biðlarans. Net-ACL netþísins getur samt sleppt pakkanum eftir að allir þrír standast, svo athugaðu hann sem fjórða atriðið en ekki sem seinni tíma hugsun.

Leið sem virkar að einhverju EC2-tilviki í VPC sannar ekkert af þessu. Hún sýnir að göngin eru uppi, sem er eini hlutinn af slóðinni sem þú vissir þegar. Sannaðu endapunkt aðsetrið sérstaklega og sannaðu svo að nafnið leysist í það.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

Fyrsta skipunin sýnir hvaða viðmót biðlarinn myndi nota. Önnur sannar TCP-handaband. Þriðja sannar að TLS ljúki með skírteini sem gildir fyrir nafn endapunktsins, og það er prófið sem grípur rangt aðsetur áður en þú kennir heimildunum um.

Ákveddu hvaða DNS-svar forritið fær

Tilvera viðmótsendapunkts í VPC beinir ekki SDK á staðnum sjálfkrafa. Biðlarinn notar annaðhvort nafnið sem er sérstakt fyrir endapunktinn og AWS birtir fyrir hann, eða einkahýstan svæði sem þú hefur viljandi gert leysanlegt frá skrifstofunni.

Fyrir blendingaleysingu þarf leysirinn á staðnum studda slóð inn í DNS-sýn VPC, venjulega í gegnum innkominn Resolver-endapunkt. Að kveikja á einka-DNS án þess að skilja hvaða fyrirspurnarheimildir það hefur áhrif á er leiðin sem leit byrjar að skila aðsetri sem skrifstofan kemst ekki að. Stillingin breytir svörum fyrir fyrirspurnir sem koma í gegnum leysi VPC, ekki fyrir hvern biðlara hvar sem er.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

Keyrðu bæði á hýsli forritsins, ekki á stökkláni inni í VPC. Leysirinn sem svarar þar er sá sem vinnuálagið þitt notar, og annað svar frá öðrum hýsli er algengasta ruglingsheimildin í þessari hönnun.

Aðgengi er ekki heimild

Beiðni sem kemur að endapunktinum þarf enn heimilaðan höfuð og gilda fötubeheimild. Stefna endapunkts getur þrengt það sem endapunkturinn leyfir, og stefna fötunnar getur þrengt það enn frekar. Að ná í viðmótið segir ekkert um hvaða hluti kveikjandinn má lesa.

Prófaðu báðar áttir: eitt hættulaust heimilað kall á fyrirhugaða fötuna, og eitt kall sem búist er við að verði hafnað fyrir auðkenni eða auðlind utan stefnunnar. Geymdu nafn endapunktsins, leysta aðsetrið og samhengi stefnunnar með niðurstöðunni svo næsta manneskja geti endurtekið hana. Hafnun sem nefnir stefnugerðina sparar klukkustund af giski.

Að lokum, verðleggðu báða valkostina áður en þú útvegar. Viðmótsendapunktur rukkar á viðmótsklukkustund og á gígabæti, en gáttarendapunktur gerir það ekki, og sá munur ræður spurningunni fyrir mörg lítil vinnuálag sem þurfa aðeins aðgang frá VPC-hliðinni.