S3: үй-желісінен кіру үшін шлюз немесе интерфейс соңғы нүктесі

S3-тің екі түрлі соңғы нүктесі дизайн қарауында алмаспалы болып көрінеді және клиент алаңнан тыс қалған бойда мүлдем басқаша әрекет етеді. Шлюздің соңғы нүктесі VPC ішіндегі маршруттау кестесімен интеграция, сондықтан алаң VPN-інен келген сұраныс оған жеке мақсат ретінде ешқашан жетпейді. Интерфейс соңғы нүктесі жеке мекенжайларды желілік интерфейстерге орналастырады, оған гибридті жол шынымен жете алады. Одан кейінгінің бәрі осы екеуінің қайсысын таңдағаныңызға байланысты.

Қызмет атауымен емес, желі кірісімен шешіңіз

Трафик пайда болатын жерден бастаңыз, өйткені соңғы нүкте түрі дәл осы сұраққа жауап береді. Қолдау көрсетілетін VPC контекстіндегі жұмыс жүктемесі шлюздің соңғы нүктесін пайдалана алады және ешқашан өзінің жеке мекенжайын қажет етпейді. Алаңдағы жұмыс жүктемесіне маршруттауға болатын жеке мекенжай керек, оны интерфейс соңғы нүктесі береді. Егер дизайн екеуін араластырса, екі соңғы нүкте түрі бір VPC ішінде қатар өмір сүре алады, және бұл қайталау емес, қалыпты құрылым.

Оларды араластыру мәселе емес. Бір түр екіншісін қамтиды деп болжау мәселе.

Бірдеңе таңдамас бұрын клиентті жіктеңіз. VPC ішіндегі жұмыс кеңістігі, NAT шлюзінің артындағы контейнер және филиал кеңсесіндегі қолданба — үш түрлі көз, және тек соңғысы ғана гибридті кіруді талап етеді. Бұл жіктеуді соңғы нүктелер тізімінің жанына жазыңыз, келесі қараушы әр соңғы нүктенің не үшін бар екенін көрсін.

Интерфейс жолы басынан аяғына дейін нені талап етеді

Интерфейс соңғы нүктесі жеке мекенжайларға қолжетімділік береді, ал қолжетімділік төрт талаптың біреуі ғана. Жергілікті желіге сол мекенжайларға маршрут керек, VPC жағына қайтару жолы керек, соңғы нүктенің қауіпсіздік тобы бастау диапазонын рұқсат етуі керек, және олардың арасындағы кез келген тексеру құрылғысы ағынға рұқсат беруі керек. VPC ішіндегі қандай да бір данаға апарар маршрут осы төрттің ешқайсысын дәлелдемейді.

Алыс ұшынан артқа қарай жұмыс істеңіз. Соңғы нүктенің желілік интерфейстері күткен ішкі желілерде бар екенін растаңыз, содан кейін оның қауіпсіздік тобы орнын толтырғышты емес, нақты жергілікті диапазонды рұқсат ететінін растаңыз. Содан кейін туннель немесе желі қайтару жолын сол бағытта тасымалдайтынын тексеріңіз. Тексеру — адамдар өткізіп жіберетін қадам, өйткені қосылымға рұқсат беретін аралық құрылғы үлкенірек жауап денесін тастай алады, және бұл саясат мәселесі емес, өткізу қабілеті мәселесіндей көрінеді.

Үлкен жүктеу орнына қолжетімді ең кіші рұқсат етілген операциямен сынаңыз. Ақау ертерек және түсіндіруге аз трафикпен көрінеді.

DNS VPC-ке емес, сұраныс көзіне ереді

Бар соңғы нүкте өздігінен ештеңені бағыттамайды. Қолданба өз шешушісі қайтарған атауды алады, ал шешуші өзіне көруге рұқсат етілген көрініске сәйкес жауап береді. VPC ішіндегі дана мен кеңседегі ноутбук екі түрлі сұрақ қояды және екеуі де дұрыс, бірақ әртүрлі жауап ала алады. Біреуін тексеріп, екіншісі туралы қорытынды жасау — өткен тесттің сәтсіз орналастыруға айналу жолы.

Соңғы нүктенің жеке DNS параметрін дизайнның бөлігі ретінде оқыңыз, іске қосылғаннан кейін қосылатын құсбелгі ретінде емес.

Егер кеңсе шешушісі VPC көрінісін көруі керек болса, бұл жол әдейі салынуы керек, әдетте кіріс шешуші соңғы нүктесі арқылы. Қолданбаның өз контекстінен сұраңыз және қай шешуші жауап бергенін жазыңыз. VPC ішіндегі бастион хостында жиналған нәтиже тек бастионның көрінісін сипаттайды, басқа ештеңені емес.

Рұқсат қолжетімділіктен бөлек

Қолжетімді соңғы нүкте негізгі субъектіге жасауға рұқсат етілмеген сұраныстар үшін қателер қайтарады, және бұл қате жүйенің жобаланғандай жұмыс істеп тұрғанын білдіреді. Сәйкестік саясаты, шелек саясаты және кез келген соңғы нүкте саясаты өз қабаттарында бағаланады. Желілік қолжетімділік ешқашан рұқсат берген емес.

Дизайнды екі нәтижемен қабылдаңыз: сәтті аяқталатын зиянсыз рұқсат етілген шақыру және шығарылған сәйкестік немесе шелек үшін күтілетін бас тарту.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Әр нәтиженің жанына соңғы нүктенің атауын, шешілген мақсатты және саясат контекстін жазыңыз, өйткені кейінгі бір DNS өзгерісі бүкіл қорытындыны жарамсыз ете алады. Бірдеңе дайындамас бұрын екі соңғы нүкте түрінің ағымдағы құны мен операциялық салмағын салыстырыңыз. Интерфейс соңғы нүктесі гибридті жеке кіруді сатып алады, ол әмбебап талап емес, және шлюз жолы VPC ішіндегі жұмыс жүктемелері үшін жиі жақсырақ жауап болып қалады. Таңдау әр клиент үшін және ол қайта қарауға ашық күйде қалады.