S3: კარიბჭის ან ინტერფეისის საბოლოო წერტილი ადგილობრივი ქსელიდან წვდომისთვის

S3-ის ორი ტიპის საბოლოო წერტილი დიზაინის განხილვისას ურთიერთშემცვლელად გამოიყურება და სრულიად განსხვავებულად იქცევა, როგორც კი კლიენტი ობიექტის გარეთ აღმოჩნდება. კარიბჭის საბოლოო წერტილი VPC-ის შიგნით მარშრუტიზაციის ცხრილთან ინტეგრაციაა, ამიტომ ობიექტის VPN-იდან მომავალი მოთხოვნა მას კერძო დანიშნულების სახით არასოდეს აღწევს. ინტერფეისის საბოლოო წერტილი კერძო მისამართებს ქსელურ ინტერფეისებზე ათავსებს, რასაც ჰიბრიდული გზა ნამდვილად შეიძლება მიაღწიოს. ყველაფერი, რაც შემდეგ მოდის, დამოკიდებულია იმაზე, თუ რომელი აირჩიეთ ამ ორიდან.

გადაწყვიტეთ ქსელური შესვლის მიხედვით და არა სერვისის სახელის მიხედვით

დაიწყეთ იქ, სადაც ტრაფიკი წარმოიქმნება, რადგან სწორედ ამ კითხვას პასუხობს საბოლოო წერტილის ტიპი. სამუშაო დატვირთვას მხარდაჭერილ VPC კონტექსტში შეუძლია კარიბჭის საბოლოო წერტილის გამოყენება და არასოდეს სჭირდება საკუთარი კერძო მისამართი. ადგილზე მყოფ სამუშაო დატვირთვას სჭირდება კერძო მისამართი, რომელზეც შეუძლია მარშრუტიზაცია, და სწორედ ამას იძლევა ინტერფეისის საბოლოო წერტილი. თუ დიზაინი ორივეს ურევს, ორივე ტიპის საბოლოო წერტილი შეიძლება ერთ VPC-ში თანაარსებობდეს, და ეს ნორმალური განლაგებაა და არა დუბლირება.

მათი შერევა პრობლემა არ არის. პრობლემაა ვივარაუდოთ, რომ ერთი ტიპი მეორეს ფარავს.

დაყავით კლიენტი კატეგორიებად, სანამ რაიმეს აირჩევთ. VPC-ის შიგნით სამუშაო სივრცე, NAT კარიბჭის უკან კონტეინერი და ფილიალის ოფისში აპლიკაცია სამი განსხვავებული წყაროა და მხოლოდ უკანასკნელი აიძულებს ჰიბრიდულ შესვლას. ჩაწერეთ ეს კლასიფიკაცია საბოლოო წერტილების ინვენტარის გვერდით, რათა შემდეგმა მიმომხილველმა დაინახოს, რატომ არსებობს თითოეული საბოლოო წერტილი.

რას მოითხოვს ინტერფეისის გზა თავიდან ბოლომდე

ინტერფეისის საბოლოო წერტილი კერძო მისამართებზე წვდომას იძლევა და წვდომა ოთხი მოთხოვნიდან მხოლოდ ერთია. ადგილობრივ ქსელს სჭირდება მარშრუტი ამ მისამართებამდე, VPC-ის მხარეს სჭირდება დაბრუნების გზა, საბოლოო წერტილის უსაფრთხოების ჯგუფმა უნდა დაუშვას წყაროს დიაპაზონი, და მათ შორის არსებულმა ნებისმიერმა შემოწმების მოწყობილობამ უნდა დაუშვას ნაკადი. მარშრუტი VPC-ის რომელიმე ინსტანციამდე ამ ოთხიდან არცერთს არ ამტკიცებს.

იმუშავეთ შორეული ბოლოდან უკან. დაადასტურეთ, რომ საბოლოო წერტილის ქსელური ინტერფეისები მოსალოდნელ ქვექსელებში არსებობს, შემდეგ დაადასტურეთ, რომ მისი უსაფრთხოების ჯგუფი ნამდვილ ადგილობრივ დიაპაზონს უშვებს და არა დროებით ჩასმულ მნიშვნელობას. შემდეგ შეამოწმეთ, გადააქვს თუ არა გვირაბს ან ხაზს დაბრუნების გზა იმავე მიმართულებით. შემოწმება ის ნაბიჯია, რომელსაც ადამიანები გამოტოვებენ, რადგან კავშირის დამშვები შუალედური მოწყობილობა მაინც შეიძლება უფრო დიდი პასუხის სხეული ჩამოყაროს, და ეს გამტარუნარიანობის პრობლემად გამოიყურება და არა პოლიტიკის.

შეამოწმეთ ხელმისაწვდომი ყველაზე მცირე ნებადართული ოპერაციით და არა დიდი ჩამოტვირთვით. მარცხი უფრო ადრე და ნაკლები ტრაფიკით ჩნდება.

DNS მიჰყვება მოთხოვნის წყაროს და არა VPC-ს

არსებული საბოლოო წერტილი თავისთავად არაფერს გადამისამართებს. აპლიკაცია იღებს იმ სახელს, რომელიც მისმა გადამწყვეტმა დააბრუნა, და გადამწყვეტი პასუხობს იმ ხედის მიხედვით, რომლის ნახვაც მას ნებადართულია. VPC-ის შიგნით ინსტანცია და ოფისში ლეპტოპი ორ განსხვავებულ კითხვას სვამს და ორივემ შეიძლება სწორი, მაგრამ განსხვავებული პასუხი მიიღოს. ერთის შემოწმება და მეორეზე დასკვნის გამოტანა იმ გზას წარმოადგენს, რომლითაც წარმატებული ტესტი წარუმატებელ განლაგებად იქცევა.

საბოლოო წერტილის კერძო DNS პარამეტრს წაიკითხეთ როგორც დიზაინის ნაწილი და არა როგორც გაშვების შემდეგ ჩასართავი მოსანიშნი უჯრა.

თუ ოფისის გადამწყვეტმა VPC-ის ხედი უნდა ნახოს, ეს გზა განზრახ უნდა აშენდეს, ჩვეულებრივ შემომავალი გადამწყვეტის საბოლოო წერტილის მეშვეობით. ჰკითხეთ აპლიკაციის საკუთარი კონტექსტიდან და ჩაწერეთ, რომელმა გადამწყვეტმა უპასუხა. VPC-ის შიგნით ბასტიონ ჰოსტზე შეგროვებული შედეგი ბასტიონის ხედს აღწერს და სხვა არაფერს.

ნებართვა წვდომისგან დამოუკიდებელია

მისაწვდომი საბოლოო წერტილი შეცდომებს აბრუნებს იმ მოთხოვნებზე, რომელთა შესრულებაც ძირითად სუბიექტს არ ეკუთვნის, და ეს შეცდომა ნიშნავს, რომ სისტემა დიზაინისამებრ მუშაობს. იდენტობის პოლიტიკა, კალათის პოლიტიკა და ნებისმიერი საბოლოო წერტილის პოლიტიკა თავ-თავიანთ ფენებში ფასდება. ქსელურ წვდომას ნებართვა არასოდეს მიუცია.

მიიღეთ დიზაინი ორი შედეგით: უვნებელი ნებადართული გამოძახება, რომელიც წარმატდება, და მოსალოდნელი უარი გამორიცხული იდენტობის ან კალათისთვის.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

თითოეული შედეგის გვერდით ჩაწერეთ საბოლოო წერტილის სახელი, გადაწყვეტილი დანიშნულება და პოლიტიკის კონტექსტი, რადგან მოგვიანო DNS ცვლილებამ შეიძლება მთელი დასკვნა გააუქმოს. სანამ რაიმეს მოამზადებთ, შეადარეთ ორივე ტიპის საბოლოო წერტილის მიმდინარე ღირებულება და ოპერაციული დატვირთვა. ინტერფეისის საბოლოო წერტილი ჰიბრიდულ კერძო შესვლას ყიდულობს, ის უნივერსალური მოთხოვნა არ არის, და კარიბჭის გზა ხშირად რჩება უკეთეს პასუხად VPC-ის შიგნით სამუშაო დატვირთვებისთვის. არჩევანი თითოეული კლიენტისთვისაა და გადასინჯვადი რჩება.