S3 vārteja vai saskarnes galapunkts lokālajam klientam?

Sasniegt S3 no biroja tīkla caur vietnes VPN nav maršrutēšanas problēma, ko statisks maršruts varētu atrisināt viens pats. Vārtejas galapunkts tiek piesaistīts maršrutēšanas tabulām un apkalpo pieprasījumus, kas rodas VPC iekšienē. Saskarnes galapunkts ievieto jūsu apakštīklos elastīgas tīkla saskarnes ar privātām adresēm, un šīs adreses ir sasniedzamas no vietas, izmantojot VPN vai Direct Connect. Tas, kur pieprasījums sākas, nosaka, kurš no diviem jums patiešām ir vajadzīgs, un DNS, drošības grupas un politikas darbs izriet no šīs atbildes.

Atdaliet galapunktu veidus pēc tā, kur pieprasījums sākas

Vārtejas galapunkts parādās kā maršrutēšanas tabulas ieraksts, kas norāda uz pārvaldītu prefiksu sarakstu. Tam nav tīkla saskarnes, drošības grupas un savas privātas adreses, un tieši tāpēc lokālais resursdators nevar uz to maršrutēt: otrā pusē nav nekā, uz ko maršrutēt. Datplūsma no VPC iekšienes sasniedz S3, jo apakštīkla maršrutēšanas tabula sūta šo prefiksu uz galapunktu. Datplūsmai no jebkurienes citur nav šāda ieraksta, kam sekot.

Saskarnes galapunkts ir tīkla saskarņu kopa jūsu izvēlētajos apakštīklos, katrai ir privāta adrese no šī apakštīkla un piesaistīta drošības grupa. Tā ir forma, ko var izmantot hibrīdslients, jo tā ir parasts galamērķis, uz kuru jūsu tunelis var pārvadāt paketes. Tas nozīmē arī to, ka galapunkts patērē adreses apakštīklā un tās var izsīkt.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

Lasiet Type kolonnu, nevis nosaukumu. Vienā VPC bieži ir abi veidi vienam un tam pašam pakalpojumam, un ieraksts, kas vajadzīgs jūsu lokālajai lietojumprogrammai, ir saskarnes ieraksts.

Izveidojiet ceļu līdz saskarnes adresei pirms S3 testēšanas

Trīs lietām jābūt patiesām vienlaikus: lokālajam maršrutētājam ir maršruts uz galapunkta apakštīklu, atgriešanās ceļš no šī apakštīkla sasniedz klienta tīklu, un galapunkta drošības grupa pieļauj klienta avota diapazonu. Apakštīkla tīkla ACL joprojām var nomest paketi pēc tam, kad visi trīs ir izpildīti, tāpēc pārbaudiet to kā ceturto punktu, nevis kā novēlotu domu.

Strādājošs maršruts uz kādu EC2 instanci VPC iekšienē neko no tā nepierāda. Tas parāda, ka tunelis ir uzcelts, un tā ir vienīgā ceļa daļa, ko jūs jau zinājāt. Pierādiet galapunkta adresi atsevišķi, pēc tam pierādiet, ka nosaukums tajā atrisinās.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

Pirmā komanda parāda, kuru saskarni klients izmantotu. Otrā pierāda TCP rokas spiedienu. Trešā pierāda, ka TLS pabeidzas ar sertifikātu, kas derīgs galapunkta nosaukumam, un tieši šī pārbaude noķer nepareizu adresi, pirms vainojat atļaujas.

Izlemiet, kādu DNS atbildi saņem lietojumprogramma

Saskarnes galapunkta esamība VPC iekšienē pati par sevi nepārvirza lokālo SDK. Klients izmanto vai nu galapunktam raksturīgo nosaukumu, ko AWS publicē šim punktam, vai privātu mitinātu zonu, ko esat apzināti padarījis atrisināmu no biroja.

Hibrīdai atrisināšanai lokālajam atrisinātājam vajadzīgs atbalstīts ceļš VPC DNS skatā, parasti caur Resolver ienākošo galapunktu. Privātā DNS ieslēgšana, nesaprotot, uz kuriem vaicājumu avotiem tas iedarbojas, ir veids, kā meklēšana sāk atgriezt adresi, kuru birojs nevar sasniegt. Iestatījums maina atbildes uz vaicājumiem, kas nāk caur VPC atrisinātāju, nevis katram klientam visur.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

Palaidiet abas lietojumprogrammas resursdatorā, nevis lēciena kastē VPC iekšienē. Atrisinātājs, kas tur atbild, ir tas, ko izmanto jūsu darba slodze, un atšķirīga atbilde no cita resursdatora ir visbiežākais apjukuma avots šajā dizainā.

Sasniedzamība nav autorizācija

Pieprasījumam, kas nonāk galapunktā, joprojām vajadzīgs autorizēts subjekts un piemērojama kausa atļauja. Galapunkta politika var sašaurināt to, ko galapunkts atļauj, un kausa politika to var sašaurināt vēl vairāk. Sasniegt saskarni neko nepasaka par to, kādus objektus izsaucējs drīkst lasīt.

Pārbaudiet abus virzienus: vienu nekaitīgu autorizētu izsaukumu uz paredzēto kausu un vienu izsaukumu, kas būtu jānoraida identitātei vai resursam ārpus politikas. Saglabājiet galapunkta nosaukumu, atrisināto adresi un politikas kontekstu kopā ar rezultātu, lai nākamā persona varētu to atkārtot. Noraidījums, kas nosauc politikas veidu, ietaupa stundu minējumu.

Visbeidzot, pirms nodrošināšanas novērtējiet abu variantu cenu. Saskarnes galapunkts tiek iekasēts par saskarnes stundu un par gigabaitu, bet vārtejas galapunkts netiek, un šī atšķirība izšķir jautājumu daudzām maza apjoma darba slodzēm, kurām vajadzīga tikai piekļuve no VPC puses.