S3: šliuzo arba sąsajos galinis taškas prieigai iš vietinio tinklo

Du S3 galinių taškų tipai dizaino apžvalgoje atrodo keičiami, tačiau elgiasi visiškai skirtingai, kai klientas atsiduria už aikštelės ribų. Šliuzo galinis taškas yra integracija su maršrutų lentele VPC viduje, todėl užklausa iš aikštelės VPN niekada nepasiekia jo kaip privataus tikslo. Sąsajos galinis taškas privacius adresus sudeda į tinklo sąsajas, o hibridinis kelias iš tikrųjų gali juos pasiekti. Viskas, kas toliau, priklauso nuo to, kurį iš dviejų pasirinkote.

Spręskite pagal tinklo įėjimą, o ne pagal paslaugos pavadinimą

Pradėkite nuo tos vietos, kur atsiranda srautas, nes būtent į šį klausimą atsako galinio taško tipas. Darbo krūvis palaikomame VPC kontekste gali naudoti šliuzo galinį tašką ir niekada neprireikia savo privataus adreso. Aikštelės darbo krūviui reikia privataus adreso, į kurį jis gali maršrutizuoti, ir tai suteikia sąsajos galinis taškas. Jei dizainas maišo abu, abu galinių taškų tipai gali egzistuoti viename VPC, ir tai yra įprasta tvarka, o ne dubliavimas.

Jų maišymas nėra problema. Problema yra manyti, kad vienas tipas apima kitą.

Klasifikuokite klientą prieš ką nors rinkdamiesi. Darbo erdvė VPC viduje, konteineris už NAT šliuzo ir programa filialo biure yra trys skirtingi šaltiniai, ir tik paskutinis verčia naudoti hibridinį įėjimą. Užsirašykite šią klasifikaciją šalia galinių taškų sąrašo, kad kitas peržiūros atlikėjas matytų, kodėl egzistuoja kiekvienas galinis taškas.

Ko sąsajos kelias reikalauja nuo pradžios iki pabaigos

Sąsajos galinis taškas suteikia pasiekiamumą privatiems adresams, o pasiekiamumas yra tik vienas iš keturių reikalavimų. Vietiniam tinklui reikia maršruto į tuos adresus, VPC pusei reikia grįžimo kelio, galinio taško saugos grupė turi priimti šaltinio diapazoną, o bet koks tikrinimo įrenginys tarp jų turi leisti srautą. Maršrutas į bet kurią VPC instanciją neįrodo nė vieno iš keturių.

Dirbkite nuo tolimojo galo atgal. Patvirtinkite, kad galinio taško tinklo sąsajos yra tikėtinuose potinkliuose, tada patvirtinkite, kad jo saugos grupė priima tikrąjį vietinį diapazoną, o ne laikiną žymeklį. Tada patikrinkite, ar tunelis arba linija neša grįžimo kelią ta pačia kryptimi. Tikrinimas yra žingsnis, kurį žmonės praleidžia, nes tarpinis įrenginys, leidžiantis ryšį, vis tiek gali numesti didesnį atsakymo turinį, ir tai atrodo kaip pralaidumo problema, o ne politikos problema.

Bandykite mažiausia leidžiama prieinama operacija, o ne dideliu atsisiuntimu. Gedimas pasirodo anksčiau ir su mažiau srauto, kurį reikia paaiškinti.

DNS seka užklausos šaltinį, o ne VPC

Egzistuojantis galinis taškas pats nieko neperadresuoja. Programa gauna tą vardą, kurį grąžino jos sprendėjas, o sprendėjas atsako pagal vaizdą, kurį jam leidžiama matyti. Instancija VPC viduje ir nešiojamasis kompiuteris biure užduoda du skirtingus klausimus ir abu gali gauti teisingus, bet skirtingus atsakymus. Vieno patikrinimas ir išvada apie kitą yra kelias, kuriuo sėkmingas testas virsta nepavykusiu diegimu.

Skaitykite galinio taško privatų DNS nustatymą kaip dizaino dalį, o ne kaip žymimąjį laukelį, kurį reikia įjungti po paleidimo.

Jei biuro sprendėjas turi matyti VPC vaizdą, tas kelias turi būti pastatytas tyčia, dažniausiai per įeinančio sprendėjo galinį tašką. Klauskite iš pačios programos konteksto ir pasižymėkite, kuris sprendėjas atsakė. Rezultatas, surinktas bastiono kompiuteryje VPC viduje, aprašo tik bastiono vaizdą ir nieko daugiau.

Leidimas yra atskiras nuo pasiekiamumo

Pasiekiamas galinis taškas grąžina klaidas užklausoms, kurių subjektas neturi teisės atlikti, ir ši klaida reiškia, kad sistema veikia taip, kaip suprojektuota. Tapatybės politika, bucket politikos ir bet kokia galinio taško politika vertinamos savo sluoksniuose. Tinklo prieiga niekada nesuteikė leidimo.

Priimkite dizainą pagal du rezultatus: nekenksmingas leidžiamas kvietimas, kuris pavyksta, ir laukiamas atmetimas pašalintai tapatybei ar bucket.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Užrašykite galinio taško pavadinimą, išspręstą tikslą ir politikos kontekstą šalia kiekvieno rezultato, nes vėlesnis DNS pakeitimas gali panaikinti visą išvadą. Prieš ką nors paruošdami palyginkite dabartines abiejų galinių taškų tipų sąnaudas ir operacinį svorį. Sąsajos galinis taškas nusiperka hibridinį privatų įėjimą, tai nėra universalus reikalavimas, ir šliuzo kelias dažnai išlieka geresnis atsakymas VPC viduje esantiems darbo krūviams. Pasirinkimas yra kiekvienam klientui ir išlieka peržiūrimas.