ಆನ್-ಪ್ರಿಮೈಸಿಸ್ ಕ್ಲೈಂಟ್‌ಗಾಗಿ S3 ಗೇಟ್‌ವೇ ಅಥವಾ ಇಂಟರ್ಫೇಸ್ ಎಂಡ್‌ಪಾಯಿಂಟ್?

ಸೈಟ್ VPN ಮೂಲಕ ಕಚೇರಿ ಜಾಲದಿಂದ S3 ತಲುಪುವುದು ಸ್ಥಿರ ಮಾರ್ಗವೊಂದೇ ಪರಿಹರಿಸಬಹುದಾದ ರೂಟಿಂಗ್ ಸಮಸ್ಯೆ ಅಲ್ಲ. ಗೇಟ್‌ವೇ ಅಂತ್ಯಬಿಂದು ರೂಟ್ ಟೇಬಲ್‌ಗಳಿಗೆ ಜೋಡಣೆಯಾಗಿರುತ್ತದೆ ಮತ್ತು VPC ಒಳಗೆ ಹುಟ್ಟುವ ವಿನಂತಿಗಳಿಗೆ ಸೇವೆ ಸಲ್ಲಿಸುತ್ತದೆ. ಇಂಟರ್ಫೇಸ್ ಅಂತ್ಯಬಿಂದು ನಿಮ್ಮ ಸಬ್‌ನೆಟ್‌ಗಳಲ್ಲಿ ಖಾಸಗಿ ವಿಳಾಸಗಳಿರುವ ಸ್ಥಿತಿಸ್ಥಾಪಕ ಜಾಲ ಇಂಟರ್ಫೇಸ್‌ಗಳನ್ನು ಇಡುತ್ತದೆ, ಮತ್ತು ಆ ವಿಳಾಸಗಳನ್ನು VPN ಅಥವಾ Direct Connect ಮೂಲಕ ಆನ್-ಪ್ರಿಮೈಸಿಸ್‌ನಿಂದ ತಲುಪಬಹುದು. ವಿನಂತಿ ಎಲ್ಲಿಂದ ಆರಂಭವಾಗುತ್ತದೆ ಎಂಬುದು ನಿಜವಾಗಿ ಯಾವುದು ಬೇಕು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು DNS, ಭದ್ರತಾ ಗುಂಪು ಹಾಗೂ ನೀತಿಯ ಕೆಲಸ ಆ ಉತ್ತರದಿಂದ ಬರುತ್ತದೆ.

ವಿನಂತಿ ಎಲ್ಲಿಂದ ಆರಂಭವಾಗುತ್ತದೆ ಎಂಬುದರ ಆಧಾರದಲ್ಲಿ ಅಂತ್ಯಬಿಂದು ಪ್ರಕಾರಗಳನ್ನು ಬೇರ್ಪಡಿಸಿ

ಗೇಟ್‌ವೇ ಅಂತ್ಯಬಿಂದು ನಿರ್ವಹಿತ ಪೂರ್ವಪ್ರತ್ಯಯ ಪಟ್ಟಿಯನ್ನು ಸೂಚಿಸುವ ರೂಟ್ ಟೇಬಲ್ ನಮೂದಾಗಿ ಕಾಣುತ್ತದೆ. ಅದಕ್ಕೆ ಜಾಲ ಇಂಟರ್ಫೇಸ್, ಭದ್ರತಾ ಗುಂಪು ಅಥವಾ ಸ್ವಂತ ಖಾಸಗಿ ವಿಳಾಸ ಇಲ್ಲ, ಮತ್ತು ಅದೇ ಕಾರಣಕ್ಕೆ ಆನ್-ಪ್ರಿಮೈಸಿಸ್ ಹೋಸ್ಟ್ ಅದಕ್ಕೆ ರೂಟ್ ಮಾಡಲು ಸಾಧ್ಯವಿಲ್ಲ: ಆಚೆ ಬದಿಯಲ್ಲಿ ರೂಟ್ ಮಾಡಲು ಏನೂ ಇಲ್ಲ. VPC ಒಳಗಿನಿಂದ ಸಂಚಾರ S3 ತಲುಪುತ್ತದೆ ಏಕೆಂದರೆ ಸಬ್‌ನೆಟ್‌ನ ರೂಟ್ ಟೇಬಲ್ ಆ ಪೂರ್ವಪ್ರತ್ಯಯವನ್ನು ಅಂತ್ಯಬಿಂದುವಿಗೆ ಕಳುಹಿಸುತ್ತದೆ. ಬೇರೆ ಎಲ್ಲಿಂದ ಬರುವ ಸಂಚಾರಕ್ಕೆ ಅನುಸರಿಸಲು ಅಂತಹ ನಮೂದು ಇಲ್ಲ.

ಇಂಟರ್ಫೇಸ್ ಅಂತ್ಯಬಿಂದು ನೀವು ಆಯ್ಕೆ ಮಾಡುವ ಸಬ್‌ನೆಟ್‌ಗಳಲ್ಲಿ ಜಾಲ ಇಂಟರ್ಫೇಸ್‌ಗಳ ಗುಂಪಾಗಿದ್ದು, ಪ್ರತಿಯೊಂದಕ್ಕೂ ಆ ಸಬ್‌ನೆಟ್‌ನಿಂದ ಖಾಸಗಿ ವಿಳಾಸ ಮತ್ತು ಜೋಡಿಸಿದ ಭದ್ರತಾ ಗುಂಪು ಇರುತ್ತದೆ. ಹೈಬ್ರಿಡ್ ಕ್ಲೈಂಟ್ ಬಳಸಬಹುದಾದ ರೂಪ ಇದೇ, ಏಕೆಂದರೆ ಇದು ನಿಮ್ಮ ಟನಲ್ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಒಯ್ಯಬಹುದಾದ ಸಾಮಾನ್ಯ ಗಮ್ಯಸ್ಥಾನ. ಇದರ ಅರ್ಥ ಅಂತ್ಯಬಿಂದು ಸಬ್‌ನೆಟ್‌ನಲ್ಲಿ ವಿಳಾಸಗಳನ್ನು ಬಳಸುತ್ತದೆ ಮತ್ತು ಅವು ಮುಗಿದುಹೋಗಬಹುದು ಎಂಬುದೂ ಆಗಿದೆ.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

ಹೆಸರಿಗಿಂತ Type ಕಾಲಂ ಓದಿ. ಒಂದೇ VPC ಸಾಮಾನ್ಯವಾಗಿ ಒಂದೇ ಸೇವೆಗೆ ಎರಡೂ ಪ್ರಕಾರಗಳನ್ನು ಹೊಂದಿರುತ್ತದೆ, ಮತ್ತು ನಿಮ್ಮ ಆನ್-ಪ್ರಿಮೈಸಿಸ್ ಅಪ್ಲಿಕೇಶನ್‌ಗೆ ಬೇಕಾದ ನಮೂದು ಇಂಟರ್ಫೇಸ್ ನಮೂದು.

S3 ಪರೀಕ್ಷಿಸುವ ಮೊದಲು ಇಂಟರ್ಫೇಸ್ ವಿಳಾಸದವರೆಗಿನ ಮಾರ್ಗ ನಿರ್ಮಿಸಿ

ಮೂರು ವಿಷಯಗಳು ಒಂದೇ ಸಮಯದಲ್ಲಿ ನಿಜವಾಗಿರಬೇಕು: ಆನ್-ಪ್ರಿಮೈಸಿಸ್ ರೂಟರ್‌ಗೆ ಅಂತ್ಯಬಿಂದು ಸಬ್‌ನೆಟ್‌ಗೆ ಮಾರ್ಗ ಇದೆ, ಆ ಸಬ್‌ನೆಟ್‌ನಿಂದ ಹಿಂತಿರುಗುವ ಮಾರ್ಗ ಕ್ಲೈಂಟ್ ಜಾಲವನ್ನು ತಲುಪುತ್ತದೆ, ಮತ್ತು ಅಂತ್ಯಬಿಂದುವಿನ ಭದ್ರತಾ ಗುಂಪು ಕ್ಲೈಂಟ್‌ನ ಮೂಲ ಶ್ರೇಣಿಯನ್ನು ಒಪ್ಪುತ್ತದೆ. ಮೂರೂ ಉತ್ತೀರ್ಣವಾದ ನಂತರವೂ ಸಬ್‌ನೆಟ್‌ನ ಜಾಲ ACL ಪ್ಯಾಕೆಟ್ ಬಿಡಬಹುದು, ಆದ್ದರಿಂದ ಅದನ್ನು ನಂತರದ ಯೋಚನೆ ಅಲ್ಲ, ನಾಲ್ಕನೇ ಅಂಶವಾಗಿ ಪರಿಶೀಲಿಸಿ.

VPCಯಲ್ಲಿನ ಯಾವುದೋ EC2 ಉದಾಹರಣೆಗೆ ಕೆಲಸ ಮಾಡುವ ಮಾರ್ಗ ಇವುಗಳಲ್ಲಿ ಯಾವುದನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಅದು ಟನಲ್ ಮೇಲಿದೆ ಎಂದು ಮಾತ್ರ ತೋರಿಸುತ್ತದೆ, ಅದು ನಿಮಗೆ ಈಗಾಗಲೇ ತಿಳಿದಿದ್ದ ಮಾರ್ಗದ ಒಂದು ಭಾಗ. ಅಂತ್ಯಬಿಂದು ವಿಳಾಸವನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಸಾಬೀತುಪಡಿಸಿ, ನಂತರ ಹೆಸರು ಅದಕ್ಕೆ ಪರಿಹರಿಸುತ್ತದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸಿ.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

ಮೊದಲ ಆಜ್ಞೆ ಕ್ಲೈಂಟ್ ಯಾವ ಇಂಟರ್ಫೇಸ್ ಬಳಸುತ್ತದೆ ಎಂದು ತೋರಿಸುತ್ತದೆ. ಎರಡನೆಯದು TCP ಕೈಕುಲುಕುವಿಕೆಯನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ. ಮೂರನೆಯದು ಅಂತ್ಯಬಿಂದು ಹೆಸರಿಗೆ ಮಾನ್ಯವಾದ ಪ್ರಮಾಣಪತ್ರದೊಂದಿಗೆ TLS ಪೂರ್ಣಗೊಳ್ಳುತ್ತದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಅನುಮತಿಗಳನ್ನು ದೂಷಿಸುವ ಮೊದಲು ತಪ್ಪು ವಿಳಾಸವನ್ನು ಹಿಡಿಯುವ ಪರಿಶೀಲನೆ ಅದೇ.

ಅಪ್ಲಿಕೇಶನ್ ಯಾವ DNS ಉತ್ತರವನ್ನು ಪಡೆಯುತ್ತದೆ ಎಂದು ನಿರ್ಧರಿಸಿ

VPCಯಲ್ಲಿ ಇಂಟರ್ಫೇಸ್ ಅಂತ್ಯಬಿಂದು ಇರುವುದು ಆನ್-ಪ್ರಿಮೈಸಿಸ್ SDKಯನ್ನು ತಾನಾಗಿಯೇ ಮರುನಿರ್ದೇಶಿಸುವುದಿಲ್ಲ. ಕ್ಲೈಂಟ್ ಒಂದೋ AWS ಆ ಅಂತ್ಯಬಿಂದುವಿಗೆ ಪ್ರಕಟಿಸುವ ಅಂತ್ಯಬಿಂದು-ನಿರ್ದಿಷ್ಟ ಹೆಸರನ್ನು ಬಳಸುತ್ತದೆ, ಅಥವಾ ಕಚೇರಿಯಿಂದ ಪರಿಹರಿಸಬಹುದಾಗಿ ನೀವು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಮಾಡಿದ ಖಾಸಗಿ ಹೋಸ್ಟ್ ಮಾಡಿದ ವಲಯವನ್ನು ಬಳಸುತ್ತದೆ.

ಹೈಬ್ರಿಡ್ ಪರಿಹರಣಕ್ಕಾಗಿ, ಆನ್-ಪ್ರಿಮೈಸಿಸ್ ಪರಿಹಾರಕಕ್ಕೆ VPCಯ DNS ನೋಟಕ್ಕೆ ಬೆಂಬಲಿತ ಮಾರ್ಗ ಬೇಕು, ಸಾಮಾನ್ಯವಾಗಿ Resolver ಒಳಬರುವ ಅಂತ್ಯಬಿಂದುವಿನ ಮೂಲಕ. ಯಾವ ಪ್ರಶ್ನೆ ಮೂಲಗಳ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುತ್ತದೆ ಎಂದು ಅರ್ಥ ಮಾಡಿಕೊಳ್ಳದೆ ಖಾಸಗಿ DNS ಸಕ್ರಿಯಗೊಳಿಸುವುದು, ಹುಡುಕಾಟ ಕಚೇರಿ ತಲುಪಲಾಗದ ವಿಳಾಸವನ್ನು ಹಿಂತಿರುಗಿಸಲು ಪ್ರಾರಂಭಿಸುವ ದಾರಿ. ಸೆಟ್ಟಿಂಗ್ VPC ಪರಿಹಾರಕದ ಮೂಲಕ ಬರುವ ಪ್ರಶ್ನೆಗಳ ಉತ್ತರಗಳನ್ನು ಬದಲಿಸುತ್ತದೆ, ಎಲ್ಲೆಡೆಯ ಪ್ರತಿ ಕ್ಲೈಂಟ್‌ನದನ್ನಲ್ಲ.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

ಎರಡನ್ನೂ ಅಪ್ಲಿಕೇಶನ್ ಹೋಸ್ಟ್‌ನಲ್ಲಿ ಚಲಾಯಿಸಿ, VPCಯೊಳಗಿನ ಜಂಪ್ ಬಾಕ್ಸ್‌ನಲ್ಲಿ ಅಲ್ಲ. ಅಲ್ಲಿ ಉತ್ತರಿಸುವ ಪರಿಹಾರಕವೇ ನಿಮ್ಮ ಹೊರೆಯು ಬಳಸುವುದು, ಮತ್ತು ಬೇರೆ ಹೋಸ್ಟ್‌ನಿಂದ ಬೇರೆ ಉತ್ತರ ಈ ವಿನ್ಯಾಸದಲ್ಲಿ ಅತ್ಯಂತ ಸಾಮಾನ್ಯ ಗೊಂದಲದ ಮೂಲ.

ತಲುಪುವಿಕೆ ಎಂಬುದು ಅಧಿಕಾರವಲ್ಲ

ಅಂತ್ಯಬಿಂದುವನ್ನು ತಲುಪುವ ವಿನಂತಿಗೆ ಇನ್ನೂ ಅಧಿಕಾರ ಪಡೆದ ಪ್ರಧಾನ ಮತ್ತು ಅನ್ವಯವಾಗುವ ಬಕೆಟ್ ಅನುಮತಿ ಬೇಕು. ಅಂತ್ಯಬಿಂದು ನೀತಿ ಅಂತ್ಯಬಿಂದು ಏನನ್ನು ಅನುಮತಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ಕಿರಿದಾಗಿಸಬಹುದು, ಮತ್ತು ಬಕೆಟ್ ನೀತಿ ಅದನ್ನು ಮತ್ತೆ ಕಿರಿದಾಗಿಸಬಹುದು. ಇಂಟರ್ಫೇಸ್ ತಲುಪುವುದು ಕರೆಗಾರ ಯಾವ ವಸ್ತುಗಳನ್ನು ಓದಬಹುದು ಎಂಬುದರ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ.

ಎರಡೂ ದಿಕ್ಕುಗಳನ್ನು ಪರೀಕ್ಷಿಸಿ: ಉದ್ದೇಶಿತ ಬಕೆಟ್‌ಗೆ ಒಂದು ನಿರುಪದ್ರವ ಅಧಿಕೃತ ಕರೆ, ಮತ್ತು ನೀತಿಯ ಹೊರಗಿನ ಗುರುತು ಅಥವಾ ಸಂಪನ್ಮೂಲಕ್ಕೆ ನಿರಾಕರಿಸಲ್ಪಡುವ ನಿರೀಕ್ಷೆಯಿರುವ ಒಂದು ಕರೆ. ಫಲಿತಾಂಶದೊಂದಿಗೆ ಅಂತ್ಯಬಿಂದು ಹೆಸರು, ಪರಿಹರಿಸಿದ ವಿಳಾಸ ಮತ್ತು ನೀತಿಯ ಸಂದರ್ಭವನ್ನು ಇರಿಸಿ, ಮುಂದಿನ ವ್ಯಕ್ತಿ ಅದನ್ನು ಪುನರುತ್ಪಾದಿಸಬಹುದು. ನೀತಿಯ ಪ್ರಕಾರವನ್ನು ಹೆಸರಿಸುವ ನಿರಾಕರಣೆ ಒಂದು ಗಂಟೆಯ ಊಹೆಯನ್ನು ಉಳಿಸುತ್ತದೆ.

ಕೊನೆಯದಾಗಿ, ಒದಗಿಸುವ ಮೊದಲು ಎರಡೂ ಆಯ್ಕೆಗಳ ಬೆಲೆಯನ್ನು ಅಂದಾಜಿಸಿ. ಇಂಟರ್ಫೇಸ್ ಅಂತ್ಯಬಿಂದು ಇಂಟರ್ಫೇಸ್-ಗಂಟೆ ಮತ್ತು ಗಿಗಾಬೈಟ್‌ಗೆ ಬಿಲ್ ಮಾಡುತ್ತದೆ, ಗೇಟ್‌ವೇ ಅಂತ್ಯಬಿಂದು ಮಾಡುವುದಿಲ್ಲ, ಮತ್ತು ಆ ವ್ಯತ್ಯಾಸವೇ VPC ಬದಿಯ ಪ್ರವೇಶ ಮಾತ್ರ ಬೇಕಾದ ಅನೇಕ ಕಡಿಮೆ ಪ್ರಮಾಣದ ಹೊರೆಗಳಿಗೆ ಪ್ರಶ್ನೆಯನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ.