S3: дотоод сүлжээнээс хандах гарц эсвэл интерфейсийн төгсгөлийн цэг

S3-ын хоёр төрлийн төгсгөлийн цэг нь дизайны хяналтад сольж болох мэт харагдах боловч клиент талбайгаас гадуур гармагц огт өөрөөр ажилладаг. Гарцын төгсгөлийн цэг нь VPC доторх чиглүүлэлтийн хүснэгттэй нэгтгэл тул талбайн VPN-ээс ирсэн хүсэлт түүнд хувийн очих газар болж хэзээ ч хүрэхгүй. Интерфейсийн төгсгөлийн цэг нь хувийн хаягуудыг сүлжээний интерфейс дээр байрлуулдаг бөгөөд гибрид зам тэнд үнэхээр хүрч чадна. Дараах бүхэн та энэ хоёрын алийг нь сонгосноос хамаарна.

Үйлчилгээний нэрээр биш, сүлжээний орох хаалгаар шийд

Хөдөлгөөн үүсдэг газраас эхэл, учир нь төгсгөлийн цэгийн төрөл яг энэ асуултад хариулдаг. Дэмжигдсэн VPC орчинд ажлын ачаалал гарцын төгсгөлийн цэг ашиглаж болох бөгөөд хэзээ ч өөрийн хувийн хаяг хэрэггүй. Талбай дахь ажлын ачаалалд чиглүүлж болох хувийн хаяг хэрэгтэй бөгөөд үүнийг интерфейсийн төгсгөлийн цэг өгдөг. Дизайн хоёуланг нь хольсон бол хоёр төрлийн төгсгөлийн цэг нэг VPC-д зэрэгцэн оршиж болох бөгөөд энэ нь давхардал биш, ердийн зохион байгуулалт юм.

Тэдгээрийг холих нь асуудал биш. Нэг төрөл нөгөөгөө бүрхэнэ гэж үзэх нь асуудал.

Ямар нэг зүйл сонгохын өмнө клиентийг ангил. VPC доторх ажлын орон зай, NAT гарцын ардах контейнер, салбарын оффис дахь аппликейшн гэсэн гурван өөр эх сурвалж байгаа бөгөөд зөвхөн сүүлийнх нь гибрид орох хаалгыг шаарддаг. Энэ ангиллыг төгсгөлийн цэгийн жагсаалтын хажууд бич, дараагийн хянагч төгсгөлийн цэг бүр яагаад байгааг харна.

Интерфейсийн зам эхнээс эцэс хүртэл юу шаарддаг

Интерфейсийн төгсгөлийн цэг нь хувийн хаягууд руу хүрэх боломжийг өгдөг бөгөөд хүрэх боломж нь дөрвөн шаардлагын зөвхөн нэг юм. Дотоод сүлжээнд тэдгээр хаяг руу чиглэл хэрэгтэй, VPC талд буцах зам хэрэгтэй, төгсгөлийн цэгийн аюулгүй байдлын бүлэг эх сурвалжийн мужийг зөвшөөрөх ёстой, тэдгээрийн хоорондын аливаа шалгалтын төхөөрөмж урсгалыг зөвшөөрөх ёстой. VPC дахь аль нэг инстанс руу хүрэх зам эдгээрийн алийг ч батлахгүй.

Алсын төгсгөлөөс ухраа ажилла. Төгсгөлийн цэгийн сүлжээний интерфейсүүд таны хүлээж буй дэд сүлжээнд байгаа эсэхийг батал, дараа нь түүний аюулгүй байдлын бүлэг орлуулагч биш, бодит дотоод мужийг зөвшөөрч байгааг батал. Дараа нь туннель эсвэл шугам буцах замыг ижил чиглэлд зөөж байгаа эсэхийг шалга. Шалгалт бол хүмүүсийн алгасдаг шат, учир нь холболтыг зөвшөөрдөг завсрын төхөөрөмж илүү том хариу биетийг хаяж болох бөгөөд энэ нь бодлогын биш, дамжуулах чадварын асуудал мэт харагддаг.

Том таталт биш, боломжтой хамгийн бага зөвшөөрөгдсөн үйлдлээр турш. Алдаа эрт бөгөөд тайлбарлах бага хөдөлгөөнтэй гарч ирдэг.

DNS нь VPC биш, асуулгын эх сурвалжийг дагадаг

Байгаа төгсгөлийн цэг өөрөө юуг ч дахин чиглүүлдэггүй. Аппликейшн өөрийн шийдвэрлэгчийн буцаасан нэрийг авдаг бөгөөд шийдвэрлэгч нь түүнд харах зөвшөөрөлтэй байдлын дагуу хариулдаг. VPC доторх инстанс болон оффис дахь зөөврийн компьютер хоёр өөр асуулт тавьдаг бөгөөд хоёулаа зөв боловч өөр хариулт авч болно. Нэгийг баталж нөгөөгийн талаар дүгнэх нь тэнцсэн шалгалтыг бүтэлгүй байршуулалт болгох зам юм.

Төгсгөлийн цэгийн хувийн DNS тохиргоог дизайны хэсэг гэж унш, ажиллуулсны дараа асаах чагт биш.

Оффисын шийдвэрлэгч VPC-ийн байдлыг харах ёстой бол тэр замыг зориуд барьсан байх ёстой, ихэвчлэн орж ирэх шийдвэрлэгчийн төгсгөлийн цэгээр. Аппликейшны өөрийн орчноос асууж, аль шийдвэрлэгч хариулсныг тэмдэглэ. VPC доторх бастион хост дээр цуглуулсан үр дүн нь бастионы байдлыг л тодорхойлдог, өөр юуг ч биш.

Зөвшөөрөл нь хүрэх боломжоос тусдаа

Хүрч болох төгсгөлийн цэг нь үндсэн субъект хийхийг зөвшөөрөөгүй хүсэлтүүдэд алдаа буцаадаг бөгөөд тэр алдаа нь систем зохион бүтээсэн ёсоор ажиллаж байгааг илэрхийлнэ. Таних тэмдгийн бодлого, хувингийн бодлого болон аливаа төгсгөлийн цэгийн бодлого өөрсдийн давхаргад үнэлэгддэг. Сүлжээний хандалт хэзээ ч зөвшөөрөл өгөөгүй.

Дизайныг хоёр үр дүнгээр хүлээн зөвшөөр: амжилттай болох хор хөнөөлгүй зөвшөөрөгдсөн дуудлага, хасагдсан таних тэмдэг эсвэл хувингийн хүлээгдэж буй татгалзал.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Үр дүн бүрийн хажууд төгсгөлийн цэгийн нэр, шийдэгдсэн очих газар, бодлогын орчныг тэмдэглэ, учир нь дараа нь DNS өөрчлөгдөх нь бүх дүгнэлтийг хүчингүй болгож болно. Ямар нэг зүйлийг бэлтгэхийн өмнө хоёр төрлийн төгсгөлийн цэгийн одоогийн зардал, ашиглалтын ачааллыг харьцуул. Интерфейсийн төгсгөлийн цэг нь гибрид хувийн орох хаалгыг худалдаж авдаг, энэ нь бүх нийтийн шаардлага биш бөгөөд VPC доторх ажлын ачаалалд гарцын зам илүү сайн хариулт хэвээр байх нь олонтаа. Сонголт нь клиент бүрийн хувьд бөгөөд дахин хянах боломжтой хэвээр үлддэг.