S3-Gateway oder Interface-Endpunkt fir e Client op der Plaz?

Vu engem Büro-Netzwierk iwwer eng Site-VPN op S3 ze kommen ass kee Routingproblem, deen eng statesch Route eleng léise kann. En Gateway-Endpunkt hängt un Routingstabellen a bedéngt Ufroen, déi bannent der VPC entstinn. En Interface-Endpunkt setzt elastesch Netzwierkinterfacen mat privaten Adressen an Är Subnetzer, an déi Adressen sinn op der Plaz iwwer VPN oder Direct Connect erreechbar. Wou d’Ufro ufänkt, entscheet, ween vun den zwéin Dir tatsächlech braucht, an d’Aarbecht un DNS, Sécherheetsgrupp a Politik kënnt aus där Äntwert.

Trennt d’Endpunkttyppen duerch d’Plaz, wou d’Ufro ufänkt

En Gateway-Endpunkt erschéngt als Routingstabellen-Antrag, deen op eng geréiert Präfixlëscht weist. En huet keng Netzwierkinterface, keng Sécherheetsgrupp an och keng eege privat Adress, an genau dowéinst kann en Host op der Plaz net dohinner route: op der anerer Säit ass näischt, wouhinner geroutet ka ginn. Traffic vun bannent der VPC erreecht S3, well d’Routingstabell vum Subnetz dee Präfix op den Endpunkt schéckt. Traffic vun iwwerall soss huet keen esouchen Antrag, deem en nokënnt.

En Interface-Endpunkt ass eng Rei Netzwierkinterfacen an Subnetzer, déi Dir auswielt, jiddweree mat enger privater Adress aus deem Subnetz an engem ugehaangene Sécherheetsgrupp. Dat ass d’Form, déi en hybriden Client benotze kann, well et en normale Bestëmmungsuert ass, wou Ären Tunnel Päckele kënnt droen. Et heescht och, datt den Endpunkt Adressen am Subnetz verbraucht an se kann ausgoen.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

Liest d’Type-Kolonn an net den Numm. Eng eenzel VPC hält dacks béid Zorte fir dee selwechten Déngscht, an den Antrag, deen Är Applikatioun op der Plaz brauch, ass dee vum Interface.

Baut de Wee bis op d’Interfaceadress, ier Dir S3 testt

Dräi Saachen mussen zur selwechter Zäit wouer sinn: de Router op der Plaz huet eng Route an den Endpunkt-Subnetz, de Réckwee aus deem Subnetz erreecht d’Client-Netzwierk, an de Sécherheetsgrupp vum Endpunkt looss de Quellberäich vum Client duerch. D’Netzwierk-ACL vum Subnetz kann de Pak nach ëmmer fale loossen, nodeems all dräi erfëllt sinn, dofir kontrolléiert se als véierten Element an net als spéiden Abléck.

Eng Route, déi op eng extensiv EC2-Instanz an der VPC funktionéiert, beweist dovun näischt. Se weist just, datt den Tunnel uewen ass, wat deen eenzegen Deel vum Wee ass, deen Dir schonn kannt. Beweist d’Endpunktadress separat a beweist duerno, datt den Numm sech dohinner opléist.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

Déi éischt Kommando weist, wéi eng Interface de Client géif benotzen. Déi zweet beweist en TCP-Handshake. Déi drëtt beweist, datt TLS mat engem Zertifikat ofgeschloss gëtt, deen fir den Endpunktnumm gëlteg ass, an dat ass d’Kontroll, déi eng falsch Adress fänkt, ier Dir d’Berechtegungen beschëllegt.

Entscheet, wéi eng DNS-Äntwert d’Applikatioun kritt

Datt en Interface-Endpunkt an der VPC existéiert, leet en SDK op der Plaz net vu sech aus ëm. De Client benotzt entweder den endpunktspezifeschen Numm, deen AWS fir deen Endpunkt publizéiert, oder eng privat gehost Zon, déi Dir bewosst vum Büro aus opléisbar gemaach hutt.

Fir eng hybrid Opléisung brauch den Opléiser op der Plaz en ënnerstëtzten Wee an d’DNS-Vue vun der VPC, meeschtens iwwer en agaangen Resolver-Endpunkt. Privat DNS anzeschalten, ouni ze verstoen op wéi eng Ufroquelle se wierkt, ass de Wee, wéi eng Sich ufänkt eng Adress zréckzeginn, déi de Büro net erreeche kann. D’Astellung änert d’Äntwerten fir Ufroen, déi iwwer den VPC-Opléiser kommen, net fir all Client iwwerall.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

Fëllt béid um Host vun der Applikatioun aus, net op enger Sprongkëscht an der VPC. Den Opléiser, deen do äntwert, ass deen, deen Är Aarbechtslaascht benotzt, an eng aner Äntwert vun engem aneren Host ass déi heefegst Quell vu Verwierrung an dësem Design.

Erreechbarkeet ass keng Autorisatioun

Eng Ufro, déi um Endpunkt ukommt, brauch nach ëmmer e berechtegt Subjekt an eng zoutreffend Bucket-Berechtegung. Eng Endpunktpolitik kann engen, wat den Endpunkt erlaabt, an eng Bucketpolitik kann et nach eng Kéier engen. D’Interface z’erreechen seet näischt doriwwer, wéi eng Objeten de Ruffenden liese darf.

Test béid Richtungen: ee harmlose berechtegte Ruff op de geduechte Bucket an ee Ruff, dee fir eng Identitéit oder eng Ressource baussent der Politik sollt ofgeleent ginn. Hält den Endpunktnumm, déi opgeléist Adress an de Politik-Kontext mam Resultat zesummen, sou datt déi nächst Persoun et kann reproduzéieren. Eng Refus, déi den Typ vun der Politik nennt, spuert eng Stonn Rotschléi.

Schlussendlech: préist béid Optiounen, ier Dir se bereetstellt. En Interface-Endpunkt gëtt pro Interface-Stonn a pro Gigabyte fakturéiert, en Gateway-Endpunkt awer net, an dee Virdeel entscheet d’Fro fir vill Aarbechtslaaschte mat nidderegem Volume, déi just Zougang vun der VPC-Säit brauchen.