S3: vārtejas vai saskarnes galapunkts piekļuvei no vietējā tīkla

Divu veidu S3 galapunkti dizaina pārskatā šķiet aizstājami un uzvedas pilnīgi citādi, tiklīdz klients atrodas ārpus vietas. Vārtejas galapunkts ir integrācija ar maršrutēšanas tabulu VPC iekšienē, tāpēc pieprasījums no vietas VPN nekad nenonāk pie tā kā privāts galamērķis. Saskarnes galapunkts ievieto privātas adreses tīkla saskarnēs, un hibridceļš to patiešām var sasniegt. Viss turpmākais ir atkarīgs no tā, kuru no abiem jūs izvēlējāties.

Izlemiet pēc tīkla ieejas, nevis pēc pakalpojuma nosaukuma

Sāciet ar vietu, kur rodas trafiks, jo uz šo jautājumu atbild galapunkta tips. Darba slodze atbalstītā VPC kontekstā var izmantot vārtejas galapunktu un nekad neprasa savu privāto adresi. Vietējā vidē esošai darba slodzei vajag privātu adresi, uz kuru tā var maršrutēt, un to nodrošina saskarnes galapunkts. Ja dizains sajauc abus, abi galapunktu tipi var pastāvēt vienā VPC, un tā ir normāla kārtība, nevis dublēšanās.

To sajaukšana nav problēma. Problēma ir pieņēmums, ka viens tips aptver otru.

Klasificējiet klientu pirms kaut kā izvēles. Darba telpa VPC iekšienē, konteiners aiz NAT vārtejas un lietojumprogramma filiāles birojā ir trīs dažādi avoti, un tikai pēdējais piespiež hibrido ieeju. Pierakstiet šo klasifikāciju blakus galapunktu sarakstam, lai nākamais pārskatītājs redzētu, kāpēc katrs galapunkts pastāv.

Ko saskarnes ceļš prasa no sākuma līdz beigām

Saskarnes galapunkts piešķir sasniedzamību privātām adresēm, un sasniedzamība ir tikai viena no četrām prasībām. Vietējam tīklam vajag maršrutu uz šīm adresēm, VPC pusei vajag atgriešanās ceļu, galapunkta drošības grupai jāpieļauj avota diapazons, un jebkurai pārbaudes ierīcei starp tām jāatļauj plūsma. Maršruts uz kādu VPC instanci nepierāda nevienu no četrām.

Strādājiet no tālā gala atpakaļ. Apstipriniet, ka galapunkta tīkla saskarnes pastāv gaidītajos apakštīklos, pēc tam apstipriniet, ka tā drošības grupa pieļauj īsto vietējo diapazonu, nevis vietturi. Pēc tam pārbaudiet, vai tunelis vai līnija pārvadā atgriešanās ceļu tajā pašā virzienā. Pārbaude ir solis, ko cilvēki izlaiž, jo starpierīce, kas atļauj savienojumu, joprojām var nomest lielāku atbildes ķermeni, un tas izskatās pēc caurlaidspējas problēmas, nevis politikas problēmas.

Testējiet ar mazāko atļauto darbību, kas pieejama, nevis ar lielu lejupielādi. Kļūme parādās agrāk un ar mazāk trafika, kas jāpaskaidro.

DNS seko vaicājuma avotam, nevis VPC

Esošs galapunkts pats neko nepārvirza. Lietojumprogramma saņem to nosaukumu, ko atgrieza tās atrisinātājs, un atrisinātājs atbild atbilstoši skatam, kuru tam atļauts redzēt. Instance VPC iekšienē un klēpjdators birojā uzdod divus dažādus jautājumus, un abi var saņemt pareizas, bet atšķirīgas atbildes. Vienas pārbaude un secinājums par otru ir ceļš, kā izturēts tests kļūst par neizdevušos izvietošanu.

Lasiet galapunkta privāto DNS iestatījumu kā dizaina daļu, nevis kā izvēles rūtiņu, kas jāieslēdz pēc palaišanas.

Ja biroja atrisinātājam jāredz VPC skats, šis ceļš ir jābūvē apzināti, parasti caur ienākošo atrisinātāja galapunktu. Vaicājiet no pašas lietojumprogrammas konteksta un pierakstiet, kurš atrisinātājs atbildēja. Rezultāts, kas savākts uz bastiona resursdatora VPC iekšienē, apraksta bastiona skatu un neko citu.

Atļauja ir atsevišķa no sasniedzamības

Sasniedzams galapunkts atgriež kļūdas pieprasījumiem, kurus subjektam nav atļauts veikt, un šī kļūda nozīmē, ka sistēma darbojas kā projektēta. Identitātes politika, bucket politika un jebkura galapunkta politika tiek vērtētas savos slāņos. Tīkla piekļuve nekad nav piešķīrusi atļauju.

Pieņemiet dizainu, pamatojoties uz diviem rezultātiem: nekaitīgs atļauts izsaukums, kas izdodas, un gaidīts atteikums izslēgtai identitātei vai bucket.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Pierakstiet galapunkta nosaukumu, atrisināto galamērķi un politikas kontekstu blakus katram rezultātam, jo vēlāka DNS izmaiņa var atcelt visu secinājumu. Pirms kaut kā nodrošināšanas salīdziniet abu galapunktu tipu pašreizējās izmaksas un darbības slogu. Saskarnes galapunkts nopērk hibridu privātu ieeju, tā nav universāla prasība, un vārtejas ceļš bieži paliek labākā atbilde darba slodzēm VPC iekšienē. Izvēle ir katram klientam, un tā paliek pārskatāma.