Жергиликтүү кардар үчүн S3 шлюзубу же интерфейс акыркы чекитиби?

Кеңсе тармагынан site VPN аркылуу S3кө жетүү статикалык маршрут жалгыз чече алган маршруттоо маселеси эмес. Шлюз акыркы чекити маршрут таблицаларына бекитилет жана VPC ичинде пайда болгон суроо-талаптарга кызмат кылат. Интерфейс акыркы чекити сиздин ички тармактарыңызда жеке даректери бар ийкемдүү тармактык интерфейстерди жайгаштырат жана бул даректерге жергиликтүү жерден VPN же Direct Connect аркылуу жетүүгө болот. Суроо кайдан башталаары кайсынысы чындап керек экенин аныктайт, ал эми DNS, коопсуздук тобу жана саясат иши ушул жооптон келип чыгат.

Акыркы чекиттин түрлөрүн суроонун кайдан башталаарына жараша бөлүңүз

Шлюз акыркы чекити башкарылуучу префикстер тизмесине көрсөткөн маршрут таблицасынын жазуусу катары көрүнөт. Анын тармактык интерфейси, коопсуздук тобу жана өзүнүн жеке дареги жок, ошондуктан жергиликтүү хост ага маршруттай албайт: аркы тарапта маршруттай турган эч нерсе жок. VPC ичинен келген трафик S3кө жетет, анткени ички тармактын маршрут таблицасы ошол префиксти акыркы чекитке жөнөтөт. Башка каалаган жерден келген трафиктин ээрчий турган мындай жазуусу жок.

Интерфейс акыркы чекити — сиз тандаган ички тармактардагы тармактык интерфейстердин жыйындысы, алардын ар биринде ошол ички тармактан жеке дарек жана тиркелген коопсуздук тобу бар. Бул гибриддик кардар колдоно алган форма, анткени бул сиздин туннелиңиз пакеттерди жеткире алган кадимки барар жер. Бул ошондой эле акыркы чекит ички тармактагы даректерди сарптайт жана алар түгөнүп калышы мүмкүн дегенди билдирет.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

Аталышын эмес, Type мамычасын окуңуз. Бир VPC адатта бир кызмат үчүн эки түрдү тең кармайт, ал эми сиздин жергиликтүү колдонмоңузга керектүү жазуу — интерфейс жазуусу.

S3ти сынаардан мурун интерфейс дарегине жол кургула

Үч нерсе бир убакта туура болушу керек: жергиликтүү маршрутизатордун акыркы чекиттин ички тармагына маршруту бар, ошол ички тармактан кайткан жол кардардын тармагына жетет жана акыркы чекиттин коопсуздук тобу кардардын баштапкы диапазонун өткөрөт. Үчөө өткөндөн кийин да ички тармактын тармактык ACL пакетти ташташы мүмкүн, ошондуктан аны кийинки ой эмес, төртүнчү пункт катары текшериңиз.

VPCдеги кандайдыр бир EC2 инстанциясына иштеген маршрут булардын эч бирин далилдебейт. Ал туннелдин көтөрүлгөнүн көрсөтөт, бул сиз мурун эле билген жолдун бир бөлүгү. Акыркы чекиттин дарегин өзүнчө далилдеңиз, андан кийин ат ошол дарекке чечилерин далилдеңиз.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

Биринчи буйрук кардар кайсы интерфейсти колдонорун көрсөтөт. Экинчиси TCP кол алышуусун далилдейт. Үчүнчүсү TLS акыркы чекиттин атына жарактуу сертификат менен аяктаарын далилдейт, ал эми укуктарды күнөөлөөдөн мурун туура эмес даректи кармаган текшерүү ушул.

Колдонмо кайсы DNS жообун алаарын чечиңиз

VPCде интерфейс акыркы чекитинин болушу жергиликтүү SDKны өз алдынча багыттабайт. Кардар же AWS ошол акыркы чекит үчүн жарыялаган акыркы чекитке таандык атты, же сиз кеңседен чечилүүчү кылып атайын жасаган жеке хостинг аймагын колдонот.

Гибриддик чечүү үчүн жергиликтүү чечүүчүгө VPCнин DNS көрүнүшүнө колдоого алынган жол керек, адатта Resolver кирүүчү акыркы чекити аркылуу. Жеке DNSти кайсы суроо булактарына таасир этээрин түшүнбөй күйгүзүү — издөө кеңсе жете албаган даректи кайтара баштаган жол. Жөндөө VPC чечүүчүсү аркылуу келген суроолордун жоопторун өзгөртөт, бардык жердеги ар бир кардардын жообун эмес.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

Экөөнү тең колдонмонун хостунда иштетиңиз, VPC ичиндеги секирүү кутусунда эмес. Ал жерде жооп берген чечүүчү — сиздин жүктөмүңүз колдонгон чечүүчү, ал эми башка хосттон башкача жооп бул долбоордогу чаташуунун эң көп тараган булагы.

Жеткиликтүүлүк — авторизация эмес

Акыркы чекитке жеткен суроо дагы эле ыйгарым укуктуу субъектини жана колдонулуучу челек укугун талап кылат. Акыркы чекит саясаты чекит уруксат берген нерселерди тарайта алат, ал эми челек саясаты аны дагы тарайта алат. Интерфейске жетүү чакырган тарап кайсы объектилерди окуй алаары жөнүндө эч нерсе айтпайт.

Эки багытты тең текшериңиз: максаттуу челекке бир зыянсыз ыйгарым укуктуу чакыруу жана саясаттан тышкаркы инсанга же ресурска баш тартылат деп күтүлгөн бир чакыруу. Акыркы чекиттин атын, чечилген даректи жана саясат контекстин жыйынтык менен бирге сактаңыз, кийинки адам аны кайталай алышы үчүн. Саясаттын түрүн атаган баш тартуу бир саат божомолдоону үнөмдөйт.

Акырында, даярдаардан мурун эки варианттын баасын эсептеңиз. Интерфейс акыркы чекити интерфейс сааты жана гигабайт боюнча эсептелет, ал эми шлюз акыркы чекити андай эмес, жана бул айырмачылык VPC тарабынан гана кирүү керек болгон көптөгөн төмөн көлөмдүү жүктөмдөр үчүн маселени чечет.