S3: крајна точка преку порта или интерфејс за пристап од локалната мрежа

Два вида крајни точки на S3 изгледаат заменливи во преглед на дизајн и се однесуваат сосема поинаку штом клиентот е надвор од локацијата. Крајната точка преку порта е интеграција со табелата за рутирање во VPC, така што барањето од VPN на локацијата никогаш не стигнува до неа како приватно одредиште. Крајната точка преку интерфејс поставува приватни адреси на мрежни интерфејси, што хибридна патека навистина може да го достигне. Сѐ што следи зависи од тоа која од двете ја избравте.

Одлучете според мрежниот влез, а не според името на услугата

Започнете од местото каде што настанува сообраќајот, бидејќи тоа е прашањето на кое одговара типот на крајна точка. Работно оптоварување во поддржан контекст на VPC може да користи крајна точка преку порта и никогаш не бара сопствена приватна адреса. Работното оптоварување на локацијата бара приватна адреса кон која може да рутира, а тоа го обезбедува крајната точка преку интерфејс. Ако дизајнот ги меша двете, двата типа крајни точки можат да постојат заедно во еден VPC, и тоа е нормален распоред, а не дупликат.

Нивното мешање не е проблемот. Проблем е да се претпостави дека едниот тип го покрива другиот.

Класифицирајте го клиентот пред да изберете нешто. Работен простор во VPC, контејнер зад NAT порта и апликација во канцеларија во филијала се три различни извори, и само последниот го наметнува хибридниот влез. Запишете ја таа класификација покрај пописот на крајни точки за следниот прегледувач да види зошто постои секоја крајна точка.

Што бара интерфејсната патека од почеток до крај

Крајната точка преку интерфејс дава достапност до приватни адреси, а достапноста е само едно од четири барања. Локалната мрежа бара рута до тие адреси, страната на VPC бара повратна патека, безбедносната група на крајната точка мора да го дозволи опсегот на изворот, и секој уред за проверка меѓу нив мора да го дозволи текот. Рута до кој било пример во VPC не докажува ниту едно од четирите.

Работете од далечниот крај наназад. Потврдете дека мрежните интерфејси на крајната точка постојат во очекуваните подмрежи, потоа потврдете дека нејзината безбедносна група го дозволува вистинскиот локален опсег, а не месточувар. Потоа проверете дали тунелот или линијата ја носат повратната патека во истата насока. Проверката е чекорот што луѓето го прескокнуваат, бидејќи среден уред што ја дозволува врската сѐ уште може да отфрли поголемо тело на одговор, и тоа изгледа како проблем со пропусната моќ, а не со политиката.

Тестирајте со најмалата дозволена операција што е достапна, наместо со големо преземање. Дефектот се појавува порано и со помалку сообраќај што треба да се објасни.

DNS следи го изворот на барањето, а не VPC

Постоечка крајна точка не пренасочува ништо сама по себе. Апликацијата го добива името што и го вратил нејзиниот решавач, а решавачот одговара според погледот што му е дозволен да го гледа. Пример во VPC и преносен компјутер во канцеларија поставуваат две различни прашања и двата можат да добијат точни, но различни одговори. Да се потврди едниот и да се заклучи за другиот е патот на успешен тест да стане неуспешно распоредување.

Читајте го приватното DNS поставување на крајната точка како дел од дизајнот, а не како поле за штиклирање што се вклучува по пуштањето во работа.

Ако решавачот во канцеларијата треба да го гледа погледот на VPC, таа патека мора намерно да се изгради, обично преку дојдовна крајна точка на решавач. Прашајте од сопствениот контекст на апликацијата и забележете кој решавач одговорил. Резултатот собран на бастионски домаќин во VPC го опишува погледот на бастионот и ништо друго.

Дозволата е одделна од достапноста

Достапна крајна точка враќа грешки за барањата што субјектот не смее да ги направи, и таа грешка значи дека системот работи како што е проектиран. Политиката за идентитет, политиката за кофа и секоја политика на крајна точка се оценуваат во свои слоеви. Мрежниот пристап никогаш не дал дозвола.

Прифатете го дизајнот врз основа на два резултата: безопасен дозволен повик што успева, и очекувано одбивање за исклучена идентификација или кофа.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Забележете го името на крајната точка, решеното одредиште и контекстот на политиката покрај секој резултат, бидејќи подоцнежна промена на DNS може да го поништи целиот заклучок. Пред да обезбедите нешто, споредете ги тековните трошоци и оперативното оптоварување на двата типа крајни точки. Крајната точка преку интерфејс купува хибриден приватен влез, таа не е универзално барање, и патеката преку порта честопати останува подобар одговор за работни оптоварувања во VPC. Изборот е за секој клиент и останува предмет на преглед.