ഓൺ-പ്രിമൈസസ് ക്ലയന്റിന് S3 ഗേറ്റ്‌വേയോ ഇന്റർഫേസ് എൻഡ്‌പോയിന്റോ?

സൈറ്റ് VPN വഴി ഓഫീസ് നെറ്റ്‌വർക്കിൽ നിന്ന് S3 ലേക്ക് എത്തുന്നത് സ്റ്റാറ്റിക് റൂട്ട് ഒറ്റയ്ക്ക് പരിഹരിക്കാവുന്ന റൂട്ടിംഗ് പ്രശ്നമല്ല. ഗേറ്റ്‌വേ എൻഡ്‌പോയിന്റ് റൂട്ട് ടേബിളുകളിൽ ഘടിപ്പിച്ചിരിക്കുന്നു, VPC-യ്ക്കുള്ളിൽ ഉയരുന്ന അഭ്യർത്ഥനകൾ സേവിക്കുന്നു. ഇന്റർഫേസ് എൻഡ്‌പോയിന്റ് നിങ്ങളുടെ സബ്‌നെറ്റുകളിൽ സ്വകാര്യ വിലാസങ്ങളുള്ള ഇലാസ്റ്റിക് നെറ്റ്‌വർക്ക് ഇന്റർഫേസുകൾ സ്ഥാപിക്കുന്നു, ആ വിലാസങ്ങളിൽ VPN അല്ലെങ്കിൽ Direct Connect വഴി ഓൺ-പ്രിമൈസസിൽ നിന്ന് എത്താം. അഭ്യർത്ഥന എവിടെ നിന്ന് തുടങ്ങുന്നു എന്നത് യഥാർത്ഥത്തിൽ ഏതാണ് വേണ്ടതെന്ന് തീരുമാനിക്കുന്നു, DNS, സുരക്ഷാ ഗ്രൂപ്പ്, നയം എന്നിവയുടെ ജോലി ആ ഉത്തരത്തിൽ നിന്ന് വരുന്നു.

അഭ്യർത്ഥന എവിടെ നിന്ന് തുടങ്ങുന്നു എന്നതിന്റെ അടിസ്ഥാനത്തിൽ എൻഡ്‌പോയിന്റ് തരങ്ങൾ വേർതിരിക്കുക

ഗേറ്റ്‌വേ എൻഡ്‌പോയിന്റ് മാനേജ് ചെയ്യുന്ന പ്രിഫിക്സ് പട്ടികയിലേക്ക് ചൂണ്ടുന്ന റൂട്ട് ടേബിൾ എൻട്രിയായി കാണപ്പെടുന്നു. അതിന് നെറ്റ്‌വർക്ക് ഇന്റർഫേസോ സുരക്ഷാ ഗ്രൂപ്പോ സ്വന്തം സ്വകാര്യ വിലാസമോ ഇല്ല, അതുകൊണ്ടാണ് ഓൺ-പ്രിമൈസസ് ഹോസ്റ്റിന് അതിലേക്ക് റൂട്ട് ചെയ്യാനാകാത്തത്: മറുവശത്ത് റൂട്ട് ചെയ്യാൻ ഒന്നുമില്ല. VPC-യ്ക്കുള്ളിൽ നിന്നുള്ള ട്രാഫിക് S3-ൽ എത്തുന്നത് സബ്‌നെറ്റിന്റെ റൂട്ട് ടേബിൾ ആ പ്രിഫിക്സ് എൻഡ്‌പോയിന്റിലേക്ക് അയയ്ക്കുന്നതുകൊണ്ടാണ്. മറ്റെവിടെ നിന്നുമുള്ള ട്രാഫിക്കിന് പിന്തുടരാൻ അത്തരം എൻട്രിയില്ല.

ഇന്റർഫേസ് എൻഡ്‌പോയിന്റ് നിങ്ങൾ തിരഞ്ഞെടുക്കുന്ന സബ്‌നെറ്റുകളിലെ നെറ്റ്‌വർക്ക് ഇന്റർഫേസുകളുടെ ഒരു കൂട്ടമാണ്, ഓരോന്നിനും ആ സബ്‌നെറ്റിൽ നിന്നുള്ള സ്വകാര്യ വിലാസവും ഘടിപ്പിച്ച സുരക്ഷാ ഗ്രൂപ്പും ഉണ്ട്. ഹൈബ്രിഡ് ക്ലയന്റിന് ഉപയോഗിക്കാവുന്ന രൂപം ഇതാണ്, കാരണം നിങ്ങളുടെ ടണൽ പാക്കറ്റുകൾ എത്തിക്കാവുന്ന സാധാരണ ലക്ഷ്യസ്ഥാനമാണിത്. എൻഡ്‌പോയിന്റ് സബ്‌നെറ്റിലെ വിലാസങ്ങൾ ഉപയോഗിക്കുന്നു, അവ തീർന്നുപോകാം എന്നും ഇത് അർത്ഥമാക്കുന്നു.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

പേരിന് പകരം Type കോളം വായിക്കുക. ഒരു VPC സാധാരണയായി ഒരേ സേവനത്തിന് രണ്ട് തരവും സൂക്ഷിക്കുന്നു, നിങ്ങളുടെ ഓൺ-പ്രിമൈസസ് ആപ്ലിക്കേഷന് വേണ്ട എൻട്രി ഇന്റർഫേസ് എൻട്രിയാണ്.

S3 പരിശോധിക്കുന്നതിന് മുമ്പ് ഇന്റർഫേസ് വിലാസത്തിലേക്കുള്ള പാത നിർമ്മിക്കുക

മൂന്ന് കാര്യങ്ങൾ ഒരേ സമയം ശരിയാകണം: ഓൺ-പ്രിമൈസസ് റൂട്ടറിന് എൻഡ്‌പോയിന്റ് സബ്‌നെറ്റിലേക്ക് റൂട്ട് ഉണ്ട്, ആ സബ്‌നെറ്റിൽ നിന്നുള്ള മടക്കപ്പാത ക്ലയന്റ് നെറ്റ്‌വർക്കിൽ എത്തുന്നു, എൻഡ്‌പോയിന്റിന്റെ സുരക്ഷാ ഗ്രൂപ്പ് ക്ലയന്റിന്റെ ഉറവിട ശ്രേണി അനുവദിക്കുന്നു. മൂന്നും കഴിഞ്ഞതിന് ശേഷവും സബ്‌നെറ്റിന്റെ നെറ്റ്‌വർക്ക് ACL പാക്കറ്റ് വീഴ്ത്താം, അതിനാൽ അത് പിന്നീടുള്ള ചിന്തയല്ല, നാലാമത്തെ ഇനമായി പരിശോധിക്കുക.

VPC-യിലെ ഏതോ EC2 ഇൻസ്റ്റൻസിലേക്ക് പ്രവർത്തിക്കുന്ന റൂട്ട് ഇവയൊന്നും തെളിയിക്കുന്നില്ല. ടണൽ ഉയർന്നിരിക്കുന്നു എന്ന് മാത്രം കാണിക്കുന്നു, അത് നിങ്ങൾക്ക് മുമ്പേ അറിയാവുന്ന പാതയുടെ ഒരു ഭാഗമാണ്. എൻഡ്‌പോയിന്റ് വിലാസം വെവ്വേറെ തെളിയിക്കുക, പിന്നീട് പേര് അതിലേക്ക് റിസോൾവ് ചെയ്യുന്നു എന്ന് തെളിയിക്കുക.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

ആദ്യ കമാൻഡ് ക്ലയന്റ് ഏത് ഇന്റർഫേസ് ഉപയോഗിക്കുമെന്ന് കാണിക്കുന്നു. രണ്ടാമത്തേത് TCP ഹാൻഡ്‌ഷേക്ക് തെളിയിക്കുന്നു. മൂന്നാമത്തേത് എൻഡ്‌പോയിന്റ് പേരിന് സാധുവായ സർട്ടിഫിക്കറ്റോടെ TLS പൂർത്തിയാകുന്നു എന്ന് തെളിയിക്കുന്നു, അനുമതികളെ കുറ്റപ്പെടുത്തുന്നതിന് മുമ്പ് തെറ്റായ വിലാസം പിടിക്കുന്ന പരിശോധന അതാണ്.

ആപ്ലിക്കേഷന് ഏത് DNS ഉത്തരം ലഭിക്കുന്നു എന്ന് തീരുമാനിക്കുക

VPC-യിൽ ഇന്റർഫേസ് എൻഡ്‌പോയിന്റ് ഉണ്ടായിരിക്കുന്നത് ഓൺ-പ്രിമൈസസ് SDK-യെ സ്വയം റീഡയറക്ട് ചെയ്യുന്നില്ല. ക്ലയന്റ് ഒന്നുകിൽ AWS ആ എൻഡ്‌പോയിന്റിനായി പ്രസിദ്ധീകരിക്കുന്ന എൻഡ്‌പോയിന്റ്-നിർദ്ദിഷ്ട പേര് ഉപയോഗിക്കുന്നു, അല്ലെങ്കിൽ ഓഫീസിൽ നിന്ന് റിസോൾവ് ചെയ്യാവുന്നതാക്കാൻ നിങ്ങൾ ബോധപൂർവം തയ്യാറാക്കിയ സ്വകാര്യ ഹോസ്റ്റഡ് സോൺ ഉപയോഗിക്കുന്നു.

ഹൈബ്രിഡ് റിസൊല്യൂഷനായി, ഓൺ-പ്രിമൈസസ് റിസോൾവർക്ക് VPC-യുടെ DNS കാഴ്ചയിലേക്ക് പിന്തുണയുള്ള പാത വേണം, സാധാരണയായി Resolver ഇൻബൗണ്ട് എൻഡ്‌പോയിന്റ് വഴി. ഏത് ക്വറി ഉറവിടങ്ങളെ ബാധിക്കുന്നു എന്ന് മനസ്സിലാക്കാതെ സ്വകാര്യ DNS പ്രവർത്തനക്ഷമമാക്കുന്നത്, ഓഫീസിന് എത്താനാകാത്ത വിലാസം തിരച്ചിൽ തിരികെ നൽകാൻ തുടങ്ങുന്ന വഴിയാണ്. ഈ ക്രമീകരണം VPC റിസോൾവർ വഴി വരുന്ന ക്വറികളുടെ ഉത്തരങ്ങൾ മാറ്റുന്നു, എല്ലായിടത്തുമുള്ള എല്ലാ ക്ലയന്റുകളുടെയും അല്ല.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

രണ്ടും ആപ്ലിക്കേഷൻ ഹോസ്റ്റിൽ പ്രവർത്തിപ്പിക്കുക, VPC-യ്ക്കുള്ളിലെ ജംപ് ബോക്സിൽ അല്ല. അവിടെ ഉത്തരം നൽകുന്ന റിസോൾവറാണ് നിങ്ങളുടെ വർക്ക്ലോഡ് ഉപയോഗിക്കുന്നത്, മറ്റൊരു ഹോസ്റ്റിൽ നിന്ന് വ്യത്യസ്ത ഉത്തരം ലഭിക്കുന്നത് ഈ രൂപകൽപ്പനയിലെ ഏറ്റവും സാധാരണ ആശയക്കുഴപ്പത്തിന്റെ ഉറവിടമാണ്.

എത്തിച്ചേരാനുള്ള കഴിവ് അംഗീകാരമല്ല

എൻഡ്‌പോയിന്റിൽ എത്തുന്ന അഭ്യർത്ഥനയ്ക്ക് ഇപ്പോഴും അധികാരമുള്ള പ്രിൻസിപ്പലും ബാധകമായ ബക്കറ്റ് അനുമതിയും വേണം. എൻഡ്‌പോയിന്റ് നയം എൻഡ്‌പോയിന്റ് അനുവദിക്കുന്നത് ചുരുക്കാം, ബക്കറ്റ് നയം അത് വീണ്ടും ചുരുക്കാം. ഇന്റർഫേസിൽ എത്തുന്നത് വിളിക്കുന്നയാൾക്ക് ഏത് വസ്തുക്കൾ വായിക്കാം എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല.

രണ്ട് ദിശകളും പരിശോധിക്കുക: ഉദ്ദേശിച്ച ബക്കറ്റിനെതിരെ ഒരു നിരുപദ്രവകരമായ അധികൃത കോൾ, നയത്തിന് പുറത്തുള്ള ഒരു ഐഡന്റിറ്റിക്കോ വിഭവത്തിനോ നിരസിക്കപ്പെടുമെന്ന് പ്രതീക്ഷിക്കുന്ന ഒരു കോൾ. എൻഡ്‌പോയിന്റ് പേര്, റിസോൾവ് ചെയ്ത വിലാസം, നയത്തിന്റെ സന്ദർഭം എന്നിവ ഫലത്തോടൊപ്പം സൂക്ഷിക്കുക, അടുത്തയാൾക്ക് അത് പുനർനിർമ്മിക്കാനാകും. നയത്തിന്റെ തരം പേരിടുന്ന നിരസിക്കൽ ഒരു മണിക്കൂർ ഊഹം ലാഭിക്കുന്നു.

അവസാനമായി, വിതരണത്തിന് മുമ്പ് രണ്ട് ഓപ്ഷനുകളുടെ വില കണക്കാക്കുക. ഇന്റർഫേസ് എൻഡ്‌പോയിന്റ് ഇന്റർഫേസ്-മണിക്കൂറിനും ജിഗാബൈറ്റിനും ബിൽ ചെയ്യുന്നു, ഗേറ്റ്‌വേ എൻഡ്‌പോയിന്റ് ചെയ്യുന്നില്ല, VPC വശത്ത് നിന്ന് പ്രവേശനം മാത്രം വേണ്ട ഒട്ടേറെ കുറഞ്ഞ അളവിലുള്ള വർക്ക്ലോഡുകൾക്ക് ആ വ്യത്യാസമാണ് ഉത്തരം തീരുമാനിക്കുന്നത്.