S3: titik akhir gateway atau antara muka untuk akses dari rangkaian tempatan

Dua jenis titik akhir S3 kelihatan boleh ditukar ganti dalam semakan reka bentuk dan berkelakuan sangat berbeza sebaik sahaja klien berada di luar tapak. Titik akhir gateway ialah integrasi jadual laluan di dalam VPC, jadi permintaan daripada VPN tapak tidak pernah tiba di situ sebagai destinasi peribadi. Titik akhir antara muka meletakkan alamat peribadi pada antara muka rangkaian, yang benar-benar boleh dicapai oleh laluan hibrid. Semua yang berikut bergantung pada yang mana satu daripada kedua-duanya anda pilih.

Putuskan berdasarkan pintu masuk rangkaian, bukan nama perkhidmatan

Mulakan dari tempat trafik berasal, kerana itulah soalan yang dijawab oleh jenis titik akhir. Beban kerja dalam konteks VPC yang disokong boleh menggunakan titik akhir gateway dan tidak pernah memerlukan alamat peribadi sendiri. Beban kerja di premis memerlukan alamat peribadi yang boleh dihalakan, dan itulah yang disediakan oleh titik akhir antara muka. Jika reka bentuk mencampurkan kedua-duanya, kedua-dua jenis titik akhir boleh wujud bersama dalam satu VPC, dan itu susunan biasa, bukan penduaan.

Mencampurkan kedua-duanya bukan masalah. Menganggap satu jenis meliputi yang lain itulah masalahnya.

Kelaskan klien sebelum memilih apa-apa. Ruang kerja di dalam VPC, kontena di belakang gateway NAT dan aplikasi di pejabat cawangan ialah tiga sumber berbeza, dan hanya yang terakhir memaksa pintu masuk hibrid. Tulis klasifikasi itu di sebelah inventori titik akhir supaya penyemak seterusnya melihat mengapa setiap titik akhir wujud.

Apa yang diperlukan laluan antara muka dari hujung ke hujung

Titik akhir antara muka memberikan kebolehsampaian kepada alamat peribadi, dan kebolehsampaian hanyalah satu daripada empat keperluan. Rangkaian tempatan memerlukan laluan ke alamat tersebut, bahagian VPC memerlukan laluan balik, kumpulan keselamatan titik akhir mesti menerima julat sumber, dan mana-mana peranti pemeriksaan di antaranya mesti membenarkan aliran. Laluan ke mana-mana instans dalam VPC tidak membuktikan satu pun daripada empat itu.

Bekerja dari hujung yang jauh ke belakang. Sahkan bahawa antara muka rangkaian titik akhir wujud dalam subnet yang anda jangkakan, kemudian sahkan kumpulan keselamatannya menerima julat tempatan sebenar dan bukan pemegang tempat. Selepas itu semak sama ada terowong atau litar membawa laluan balik dalam arah yang sama. Pemeriksaan ialah langkah yang orang langkau, kerana peranti tengah yang membenarkan sambungan masih boleh menggugurkan badan respons yang lebih besar, dan itu kelihatan seperti masalah daya pemprosesan, bukan masalah dasar.

Uji dengan operasi dibenarkan terkecil yang tersedia dan bukan muat turun besar. Kegagalan muncul lebih awal dan dengan trafik yang lebih sedikit untuk dijelaskan.

DNS mengikut sumber pertanyaan, bukan VPC

Titik akhir yang wujud tidak mengubah hala apa-apa dengan sendirinya. Aplikasi menerima nama yang dikembalikan oleh penyelesainya, dan penyelesai menjawab mengikut pandangan yang dibenarkan dilihatnya. Instans di dalam VPC dan komputer riba di pejabat bertanya dua soalan berbeza dan kedua-duanya boleh mendapat jawapan yang betul tetapi berbeza. Mengesahkan satu dan membuat kesimpulan tentang yang lain ialah cara ujian yang lulus menjadi penggunaan yang gagal.

Baca tetapan DNS peribadi titik akhir sebagai sebahagian daripada reka bentuk, bukan sebagai kotak semak untuk diaktifkan selepas pelancaran.

Jika penyelesai pejabat perlu melihat pandangan VPC, laluan itu mesti dibina dengan sengaja, biasanya melalui titik akhir penyelesai masuk. Buat pertanyaan dari konteks aplikasi itu sendiri dan catat penyelesai mana yang menjawab. Hasil yang dikumpul pada hos bastion di dalam VPC hanya menerangkan pandangan bastion dan bukan yang lain.

Kebenaran berasingan daripada kebolehsampaian

Titik akhir yang boleh dicapai mengembalikan ralat untuk permintaan yang tidak dibenarkan dilakukan oleh prinsipal, dan ralat itu bermaksud sistem berfungsi seperti yang direka. Dasar identiti, dasar baldi dan mana-mana dasar titik akhir dinilai dalam lapisannya sendiri. Akses rangkaian tidak pernah memberikan kebenaran.

Terima reka bentuk berdasarkan dua hasil: panggilan dibenarkan yang tidak berbahaya yang berjaya, dan penolakan dijangka untuk identiti atau baldi yang dikecualikan.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Catat nama titik akhir, destinasi yang diselesaikan dan konteks dasar di sebelah setiap hasil, kerana satu perubahan DNS kemudian boleh membatalkan keseluruhan kesimpulan. Bandingkan kos semasa dan beban operasi kedua-dua jenis titik akhir sebelum menyediakan apa-apa. Titik akhir antara muka membeli pintu masuk peribadi hibrid, ia bukan keperluan sejagat, dan laluan gateway selalunya kekal sebagai jawapan yang lebih baik untuk beban kerja di dalam VPC. Pilihan adalah setiap klien dan ia kekal boleh disemak semula.