S3: жергиликтүү тармактан кирүү үчүн шлюз же интерфейстик акыркы чекит

S3тин эки түрдүү акыркы чекити долбоордук кароодо алмашууга боло тургандай көрүнөт жана кардар аянтчадан тышкары калганда таптакыр башкача жүрүм-турум көрсөтөт. Шлюздун акыркы чекити VPC ичиндеги маршруттоо таблицасы менен интеграция, ошондуктан аянтчанын VPNинен келген суроо-талап ага жеке максат катары эч качан жетпейт. Интерфейстик акыркы чекит жеке даректерди тармактык интерфейстерге жайгаштырат, ага гибриддик жол чын эле жете алат. Андан кийинкинин баары ушул экөөнүн кайсынысын тандаганыңызга байланыштуу.

Кызматтын аты менен эмес, тармактык кирүү менен чечиңиз

Трафик пайда болгон жерден баштаңыз, анткени акыркы чекиттин түрү ушул суроого жооп берет. Колдоого алынган VPC контекстиндеги жүктөм шлюздун акыркы чекитин колдоно алат жана эч качан өзүнүн жеке дарегин талап кылбайт. Аянтчадагы жүктөмгө маршруттоого боло турган жеке дарек керек, аны интерфейстик акыркы чекит берет. Эгер долбоор экөөнү тең аралаштырса, эки акыркы чекиттин түрү бир VPC ичинде чогуу жашай алат, жана бул кайталоо эмес, кадимки жайгашуу.

Аларды аралаштыруу көйгөй эмес. Бир түр экинчисин камтыйт деп ойлоо көйгөй.

Бир нерсени тандаардан мурун кардарды классификациялаңыз. VPC ичиндеги жумуш мейкиндиги, NAT шлюзунун артындагы контейнер жана филиалдын кеңсесиндеги колдонмо — үч башка булак, жана акыркысы гана гибриддик кирүүнү талап кылат. Бул классификацияны акыркы чекиттер тизмесинин жанына жазыңыз, кийинки карап чыгуучу ар бир акыркы чекиттин эмне үчүн бар экенин көрсүн.

Интерфейстик жол башынан аягына чейин эмнени талап кылат

Интерфейстик акыркы чекит жеке даректерге жетүү мүмкүнчүлүгүн берет, жетүү мүмкүнчүлүгү төрт талаптын бири гана. Жергиликтүү тармакка ошол даректерге маршрут керек, VPC тарабына кайтуу жолу керек, акыркы чекиттин коопсуздук тобу булак диапазонун уруксат бериши керек, жана алардын ортосундагы ар кандай текшерүү түзмөгү агымды уруксат бериши керек. VPC ичиндеги кандайдыр бир инстанцияга барган маршрут бул төртөөнүн бирин да далилдебейт.

Алыс учтан артка карай иштеңиз. Акыркы чекиттин тармактык интерфейстери күткөн ички тармактарда бар экенин ырастаңыз, андан кийин анын коопсуздук тобу ордун толтургучту эмес, чыныгы жергиликтүү диапазонду уруксат берерин ырастаңыз. Андан кийин туннел же линия кайтуу жолун ошол эле багытта ташып жатканын текшериңиз. Текшерүү — адамдар өткөрүп жибере турган кадам, анткени байланышты уруксат берген ортодогу түзмөк да чоңураак жооп денесин таштай алат, жана бул саясат маселеси эмес, өткөрүү жөндөмдүүлүгү маселесине окшош.

Чоң жүктөөнүн ордуна жеткиликтүү эң кичине уруксат берилген операция менен сынаңыз. Жеңилүү эртерек жана түшүндүрүүгө аз трафик менен көрүнөт.

DNS VPCге эмес, суроо булагына ээрчийт

Бар акыркы чекит өзү эч нерсени багыттабайт. Колдонмо өзүнүн чечүүчүсү кайтарган атты алат, ал эми чечүүчү өзүнө көрүүгө уруксат берилген көрүнүшкө ылайык жооп берет. VPC ичиндеги инстанция жана кеңседеги ноутбук эки башка суроо беришет жана экөө тең туура, бирок башка жоопторду ала алышат. Бирөөнү текшерип, экинчиси жөнүндө жыйынтык чыгаруу — өткөн тесттин ийгиликсиз жайгаштырууга айлануу жолу.

Акыркы чекиттин жеке DNS параметрин долбоордун бөлүгү катары окуңуз, ишке киргизилгенден кийин күйгүзүлүүчү белги кутучасы катары эмес.

Эгер кеңсе чечүүчүсү VPC көрүнүшүн көрүүгө тийиш болсо, бул жол атайын курулушу керек, адатта кирүүчү чечүүчү акыркы чекити аркылуу. Колдонмонун өз контекстинен сураңыз жана кайсы чечүүчү жооп бергенин белгилеңиз. VPC ичиндеги бастион хостунда чогултулган натыйжа бастиондун көрүнүшүн гана сүрөттөйт, башка эч нерсени эмес.

Уруксат жетүү мүмкүнчүлүгүнөн өзүнчө

Жеткиликтүү акыркы чекит негизги субъектке жасоого уруксат берилбеген суроо-талаптар үчүн каталарды кайтарат, жана бул ката система долбоор боюнча иштеп жатканын билдирет. Идентификация саясаты, челек саясаты жана ар кандай акыркы чекит саясаты өз катмарларында бааланат. Тармактык кирүү эч качан уруксат берген эмес.

Долбоорду эки натыйжа менен кабыл алыңыз: ийгиликтүү аяктаган зыянсыз уруксат берилген чакыруу жана чыгарылган идентификация же челек үчүн күтүлгөн баш тартуу.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Ар бир натыйжанын жанына акыркы чекиттин атын, чечилген максатты жана саясат контекстин жазыңыз, анткени кийинки бир DNS өзгөрүү бүткүл жыйынтыкты жараксыз кылышы мүмкүн. Бир нерсени даярдаардан мурун эки акыркы чекит түрүнүн учурдагы баасын жана операциялык салмагын салыштырыңыз. Интерфейстик акыркы чекит гибриддик жеке кирүүнү сатып алат, ал универсалдуу талап эмес, жана шлюз жолу VPC ичиндеги жүктөмдөр үчүн көбүнчө жакшыраак жооп болуп кала берет. Тандоо ар бир кардар үчүн жана ал кайра кароого ачык бойдон калат.