S3: Gateway- oder Interface-Endpunkt fir den Zougang aus dem lokalen Netz

Zwou Zorte vun S3-Endpunkte gesinn an enger Design-Revue austauschbar aus a behuelen sech komplett anescht, soubal de Client ausserhalb vum Site sëtzt. E Gateway-Endpunkt ass eng Integratioun an d’Routingtabell bannen an enger VPC, dofir kënnt eng Ufro vun enger Site-VPN ni als privat Destinatioun do un. En Interface-Endpunkt setzt privat Adressen op Netzwierkinterfacen, wat en hybride Wee tatsächlech erreeche kann. Alles wat duerno kënnt hänkt dovun of, wéi ee vun deenen zwéin Dir gewielt hutt.

Entscheet no dem Netzwierkagang, net no dem Numm vum Service

Fänkt do un, wou den Traffic entsteet, well dat ass d’Fro, op déi d’Endpunktzort äntwert. Eng Aarbechtslaascht an engem ënnerstëtzten VPC-Kontext kann en Gateway-Endpunkt benotzen an huet ni eng eegen privat Adress néideg. Eng Aarbechtslaascht um Site brauch eng privat Adress, op déi se route kann, an dat bitt en Interface-Endpunkt. Wann en Design béides mengt, kënnen déi zwou Endpunktzorten an enger VPC niewenteneen existéieren, an dat ass eng normal Arrangement an net eng Duplikatioun.

Si mëschen ass net de Problem. Unzehuelen, datt eng Zort déi aner deckt, ass et.

Klassifizéiert de Client, ier Dir eppes auswielt. E Workspace bannen an der VPC, e Container hannert engem NAT-Gateway an eng Applikatioun an enger Filial sinn dräi verschidde Quellen, an nëmmen déi lescht forcéiert den hybriden Agang. Schreift déi Klassifikatioun niewent der Endpunkt-Inventar, sou datt den nächsten Iwwerpréifer gesäit, firwat all Endpunkt existéiert.

Wat den Interface-Wee vun Ufank bis Enn erfuerdert

En Interface-Endpunkt gëtt Erreechbarkeet fir privat Adressen, an Erreechbarkeet ass just eng vun véier Fuerderungen. D’lokal Netzwierk brauch eng Route op déi Adressen, d’VPC-Säit brauch e Réckwee, d’Sécherheetsgrupp vum Endpunkt muss d’Quellberäich zouloussen, an all Inspektiounsapparat dertëscht muss de Flux zouloussen. Eng Route op eng Instanz an der VPC beweist keng vun de véier.

Schafft vum wäiten Enn zréck. Bestätegt, datt d’Netzwierkinterfacen vum Endpunkt an den Undernetze sinn, déi Dir erwaart, a bestätegt dann, datt seng Sécherheetsgrupp dat richtegt lokal Beräich zouléisst an net en Platzhalter. Duerno préift, ob den Tunnel oder de Circuit de Réckwee an déiselwecht Richtung dréit. D’Inspektioun ass de Schrëtt, deen d’Leit iwwersprangen, well en Zwëschegerät, dat d’Verbindung erlaabt, nach ëmmer eng méi grouss Äntwert ka fale loossen, an dat gesäit wéi en Duerchflossproblem aus an net wéi e Politikproblem.

Testt mat der klengster autoriséierter Operatioun, déi verfügbar ass, an net mat engem groussen Download. De Feeler weist sech méi fréi a mat manner Traffic, deen erkläert muss ginn.

DNS follegt der Quell vun der Ufro, net der VPC

En Endpunkt, deen existéiert, ëmleet näischt vu sech aus. D’Applikatioun kritt dee Numm, deen hire Resolver zréckginn huet, an de Resolver äntwert no der Vue, déi et gesinn däerf. Eng Instanz bannen an der VPC an e Laptop am Büro stellen zwou verschidde Froen a béid kënnen richteg, awer verschidde Äntwerten kréien. Een ze verifizéieren an iwwer deen aneren ze schléissen ass de Wee, wéi en Test, dee besteet, zu enger gescheiterter Ausrollung gëtt.

Liest d’privat DNS-Astellung vum Endpunkt als Deel vum Design, net als eng Këscht, déi no dem Go-live aktivéiert gëtt.

Wann de Büroresolver d’Vue vun der VPC muss gesinn, muss dee Wee bewosst gebaut ginn, meeschtens iwwer en agehende Resolver-Endpunkt. Fro aus dem eegene Kontext vun der Applikatioun a notéiert, wéi ee Resolver geäntwert huet. En Resultat, dat op engem Bastion-Host bannen an der VPC gesammelt gëtt, beschreift d’Vue vum Bastion an näischt anescht.

Berechtegung ass getrennt vun Erreechbarkeet

En erreechbaren Endpunkt gëtt Feeler fir Ufroen zréck, déi de Principal net däerf maachen, an dee Feeler bedeit, datt d’System funktionéiert wéi et designt ass. Identitéitspolitik, Bucket-Politik an all Endpunktspolitik ginn an hire eegene Schichten evaluéiert. Netzwierkzougang huet ni eng Berechtegung ginn.

Akzeptéiert den Design op zwou Resultater: en harmlosen autoriséierten Opruff, deen erfollegräich ass, an eng erwaart Oflehnung fir eng ausgeschloss Identitéit oder e Bucket.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Notéiert den Numm vum Endpunkt, d’opgeléist Destinatioun an de Politik-Kontext nieft all Resultat, well eng spéider DNS-Ännerung déi ganz Konklusioun ongülteg maache kann. Vergläicht déi aktuell Käschten an de Betribsgewiicht vun deenen zwou Endpunktzorten, ier Dir eppes bereetstellt. En Interface-Endpunkt kaaft en hybriden private Agang, et ass keng universell Fuerderung, an de Gateway-Wee bleift dacks déi besser Äntwert fir Aarbechtslaaschten an der VPC. D’Wiel ass pro Client a bleift iwwerpréifbar.