Локал клиентэд S3 гарц эсвэл интерфейсийн төгсгөлийн цэг уу?

Оффисын сүлжээнээс site VPN-ээр S3-д хүрэх нь статик чиглүүлэлт ганцаараа шийдэж чадах чиглүүлэлтийн асуудал биш. Гарцын төгсгөлийн цэг нь чиглүүлэлтийн хүснэгтэд холбогдож, VPC-ийн дотор үүсэх хүсэлтүүдэд үйлчилдэг. Интерфейсийн төгсгөлийн цэг нь таны дэд сүлжээнд хувийн хаягтай уян хатан сүлжээний интерфейсүүдийг байрлуулах бөгөөд эдгээр хаягт локалаас VPN эсвэл Direct Connect-ээр хүрч болно. Хүсэлт хаанаас эхлэх нь танд аль нь үнэхээр хэрэгтэйг тодорхойлно, DNS, аюулгүй байдлын бүлэг, бодлогын ажил тэр хариултаас үүдэн гарна.

Төгсгөлийн цэгийн төрлүүдийг хүсэлт хаанаас эхлэхээр нь ялга

Гарцын төгсгөлийн цэг нь удирдлагатай угтварын жагсаалт руу заасан чиглүүлэлтийн хүснэгтийн бичлэг хэлбэрээр харагдана. Түүнд сүлжээний интерфейс, аюулгүй байдлын бүлэг, өөрийн хувийн хаяг байхгүй, яг үүнээс болоод локал хост руу нь чиглүүлж чадахгүй: нөгөө талд чиглүүлэх зүйл байхгүй. VPC-ийн дотроос ирэх урсгал S3-д хүрдэг, учир нь дэд сүлжээний чиглүүлэлтийн хүснэгт тэр угтварыг төгсгөлийн цэг рүү илгээдэг. Өөр газраас ирэх урсгалд дагах ийм бичлэг байхгүй.

Интерфейсийн төгсгөлийн цэг нь таны сонгосон дэд сүлжээн дэх сүлжээний интерфейсүүдийн багц бөгөөд тус бүр тэр дэд сүлжээнээс хувийн хаягтай, холбогдсон аюулгүй байдлын бүлэгтэй. Энэ бол хибрид клиент ашиглаж болох хэлбэр, учир нь энэ нь таны туннель пакет зөөж чадах энгийн очих газар юм. Энэ нь мөн төгсгөлийн цэг дэд сүлжээнд хаяг зарцуулж, тэдгээр нь дуусч болно гэсэн үг.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

Нэрийг биш, Type баганыг уншина уу. Нэг VPC ихэвчлэн нэг үйлчилгээнд хоёр төрлийг хоёуланг нь хадгалдаг бөгөөд таны локал аппликейшнд хэрэгтэй бичлэг нь интерфейсийн бичлэг юм.

S3-ыг туршихаас өмнө интерфейсийн хаяг хүртэлх замыг барь

Гурван зүйл нэгэн зэрэг үнэн байх ёстой: локал чиглүүлэгч төгсгөлийн цэгийн дэд сүлжээ рүү чиглэлтэй, тэр дэд сүлжээнээс буцах зам клиентийн сүлжээнд хүрдэг, төгсгөлийн цэгийн аюулгүй байдлын бүлэг клиентийн эх үүсвэрийн хүрээг зөвшөөрдөг. Гурвуулаа давсны дараа ч дэд сүлжээний сүлжээний ACL пакетыг хаяж болно, тиймээс үүнийг дараагийн бодол биш, дөрөв дэх зүйл болгон шалга.

VPC доторх аль нэг EC2 инстанс руу ажиллах зам үүний аль нь ч биш. Энэ нь туннель боссон гэдгийг л харуулж, энэ нь таны аль хэдийн мэдэж байсан замын ганц хэсэг юм. Төгсгөлийн цэгийн хаягыг тусад нь баталж, дараа нь нэр тэр хаяг руу шийдэгдэж байгааг батал.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

Эхний команд нь клиент аль интерфейсийг ашиглахыг харуулна. Хоёр дахь нь TCP гар барилтыг батална. Гурав дахь нь TLS төгсгөлийн цэгийн нэрэнд хүчинтэй гэрчилгээтэйгээр дуусч байгааг батална, зөвшөөрлийг буруутгахаас өмнө буруу хаягыг барих шалгалт нь яг энэ.

Аппликейшн ямар DNS хариу авдгийг шийд

VPC-д интерфейсийн төгсгөлийн цэг байгаа нь локал SDK-г өөрөө дахин чиглүүлэхгүй. Клиент нь AWS тэр төгсгөлийн цэгт нийтэлдэг төгсгөлийн цэгт оноосон нэрийг, эсвэл та оффисоос шийдэгдэх боломжтой болгож зориуд бүтээсэн хувийн хостлосон бүсийг ашиглана.

Хибрид шийдэлд локал шийдэгч VPC-ийн DNS харагдац руу дэмжигдсэн зам хэрэгтэй, ихэвчлэн Resolver-ийн орж ирэх төгсгөлийн цэгээр. Аль хүсэлтийн эх үүсвэрт нөлөөлж байгааг ойлголгүй хувийн DNS асаах нь хайлт оффис хүрч чадахгүй хаяг буцааж эхлэх зам юм. Тохиргоо нь VPC-ийн шийдэгчээр ирэх хүсэлтүүдийн хариуг өөрчилдөг, хаа сайгүй байгаа бүх клиентийн хариуг биш.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

Хоёуланг нь аппликейшны хост дээр ажиллуул, VPC доторх харайх хайрцаг дээр биш. Тэнд хариу өгч байгаа шийдэгч нь таны ажлын ачаалал ашиглаж байгаа нь бөгөөд өөр хостоос өөр хариу гарах нь энэ загварын хамгийн түгээмэл төөрөгдлийн эх үүсвэр юм.

Хүртээмж гэдэг нь зөвшөөрөл биш

Төгсгөлийн цэгт хүрсэн хүсэлтэд оролцогчийн эрх бүхий этгээд, хэрэгжих хувингийн зөвшөөрөл шаардлагатай хэвээр. Төгсгөлийн цэгийн бодлого төгсгөлийн цэг юу зөвшөөрөхийг нарийсгаж болох бөгөөд хувингийн бодлого үүнийг дахин нарийсгаж болно. Интерфейст хүрэх нь дуудагч ямар объектыг уншиж болох тухай юу ч хэлэхгүй.

Хоёр чиглэлийг туршина уу: зорилтот хувин руу нэг хор хөнөөлгүй эрх бүхий дуудлага, бодлогын гаднах иргэншил эсвэл нөөцөд татгалзах төлөвтэй нэг дуудлага. Үр дүнгийн хамт төгсгөлийн цэгийн нэр, шийдэгдсэн хаяг, бодлогын нөхцөл байдлыг хадгал, дараагийн хүн үүнийг давтаж болохын тулд. Бодлогын төрлийг нэрлэсэн татгалзал нэг цагийн таамаглалыг хэмнэдэг.

Эцэст нь, бэлтгэхийн өмнө хоёр сонголтын үнийг тооц. Интерфейсийн төгсгөлийн цэг интерфейсийн цаг, гигабайтаар тооцогдоно, гарцын төгсгөлийн цэг тийм биш, энэ ялгаа нь зөвхөн VPC талаас нэвтрэх шаардлагатай олон бага хэмжээний ажлын ачаалалд асуудлыг шийддэг.