S3: gáttar- eða viðmótsendapunktur fyrir aðgang frá staðarnetinu

Tvær gerðir S3-endapunkta virðast skiptanlegar í hönnunarferli og haga sér allt öðruvísi þegar skjólstæðingurinn er utan staðarins. Gáttarendapunktur er samþætting við leiðartöfluna inni í VPC, svo beiðni frá VPN staðarins kemst aldrei að honum sem einkarekin áfangastaður. Viðmótsendapunktur setur einkaheimilisföng á netviðmót, sem hreinlega má ná til með blendingsleið. Allt sem hér fer á eftir veltur á hvorri af þessum tveimur þú valdir.

Ákveðið eftir netinnganginum, ekki eftir nafni þjónustunnar

Byrjið þar sem umferðin verður til, því það er spurningin sem endapunktagerðin svarar. Vinnuálag í studdu VPC-samhengi getur notað gáttarendapunkt og þarf aldrei eigið einkaaðressu. Vinnuálag á staðnum þarf einkaaðressu sem það getur beint leið að, og það er það sem viðmótsendapunktur veitir. Ef hönnun blandar báðum geta báðar endapunktagerðirnar verið í sama VPC, og það er eðlilegt fyrirkomulag en ekki tvítekning.

Að blanda þeim er ekki vandamálið. Að gera ráð fyrir að ein gerð nái yfir hina er það.

Flokkið skjólstæðinginn áður en þið veljið eitthvað. Vinnurými inni í VPC, gámur bak við NAT-gátt og forrit á útibússkrifstofu eru þrjár mismunandi uppsprettur, og aðeins sú síðasta þvingar blendinginnganginn. Skrifið þennan flokk við hlið endapunktaskrárinnar svo næsti yfirferðarmaður sjái hvers vegna hver endapunktur er til.

Hvað viðmótsleiðin krefst frá upphafi til enda

Viðmótsendapunktur veitir aðgengi að einkaheimilisföngum, og aðgengi er aðeins eitt af fjórum skilyrðum. Staðarnetið þarf leið að þessum heimilisföngum, VPC-hliðin þarf afturleið, öryggishópur endapunktsins verður að hleypa upprunasviðinu í gegn, og hvert eftirlitstæki þar á milli verður að leyfa flæðið. Leið að einhverju tilviki í VPC sannar ekkert af þessum fjórum.

Vinnið frá fjarlæga endanum og aftur á bak. Staðfestið að netviðmót endapunktsins séu í þeim undirnetum sem þið búist við, staðfestið síðan að öryggishópur hans hleypi raunverulega staðarsviðinu í gegn en ekki staðgengli. Athugið svo hvort göngin eða rásin beri afturleiðina í sömu átt. Eftirlit er skrefið sem fólk sleppir, því millitæki sem leyfir tenginguna getur samt varpað stærri svarhluta, og það lítur út eins og afkastavandamál en ekki stefnuvandamál.

Prófið með minnstu leyfðu aðgerðinni sem er tiltæk í stað stórrar niðurhals. Bilunin kemur fyrr fram og með minni umferð til að útskýra.

DNS fylgir uppruna fyrirspurnarinnar, ekki VPC

Endapunktur sem er til vísar engu áfram af sjálfu sér. Forritið fær það nafn sem leysirinn þess skilaði, og leysirinn svarar eftir því útsýni sem honum er leyft að sjá. Tilvik inni í VPC og fartölva á skrifstofunni spyrja tveggja mismunandi spurninga og geta bæði fengið rétt en ólík svör. Að sannreyna annað og álykta um hitt er leiðin sem próf sem stenst verður að misheppnuðu útgáfu.

Lesið einkarekin DNS-stillingu endapunktsins sem hluta af hönnuninni, ekki sem gátreit til að kveikja á eftir opnun.

Ef leysir skrifstofunnar þarf að sjá útsýni VPC verður sú leið að vera byggð viljandi, oftast í gegnum inngöngu leysisendapunkt. Spyrjið úr eigin samhengi forritsins og skráið hvaða leysir svaraði. Niðurstaða sem safnað er á bastíonhýsingu inni í VPC lýsir útsýni bastíonsins og engu öðru.

Heimild er aðskilin frá aðgengi

Aðgengilegur endapunktur skilar villum fyrir beiðnir sem aðalhlutverkinu er ekki heimilt að senda, og sú villa þýðir að kerfið virkar eins og það var hannað. Auðkennisstefna, bucket-stefna og hver endapunktastefna eru metnar í sínum eigin lögum. Netaðgangur hefur aldrei veitt heimild.

Samþykkið hönnunina á tveimur niðurstöðum: hættulítill leyfður kalli sem tekst, og vænt synjun fyrir útilokað auðkenni eða bucket.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Skráið nafn endapunktsins, leysta áfangastaðinn og stefnusamhengið við hverja niðurstöðu, því ein DNS-breyting seinna getur gert alla ályktunina ógilda. Berið saman núverandi kostnað og rekstrarþunga beggja endapunktagerða áður en þið útbúið nokkuð. Viðmótsendapunktur kaupir blendings einkainngang, hann er ekki alhliða krafa, og gáttarleidin er oft betra svar fyrir vinnuálag inni í VPC. Valið er fyrir hvern skjólstæðing og það er áfram endurskoðanlegt.