Gateway S3 jew punt tat-tmiem tal-interface għal klijent fuq il-post?

Li tasal għal S3 minn netwerk tal-uffiċċju permezz ta’ VPN tas-sit mhix problema ta’ routing li rotta statika tista’ ssolvi waħedha. Punt tat-tmiem tal-gateway jitwaħħal mat-tabelli tar-rotot u jaqdi talbiet li joriġinaw ġewwa l-VPC. Punt tat-tmiem tal-interface iqiegħed interfaces tan-netwerk elastiċi b’indirizzi privati fis-subnets tiegħek, u dawk l-indirizzi jistgħu jintlaħqu mill-post permezz ta’ VPN jew Direct Connect. Fejn tibda t-talba jiddeċiedi liema miż-żewġ għażliet tassew għandek bżonn, u x-xogħol fuq DNS, il-grupp tas-sigurtà u l-politika joħroġ minn dik it-tweġiba.

Issepara t-tipi ta’ punti tat-tmiem skont fejn tibda t-talba

Punt tat-tmiem tal-gateway jidher bħala entrata fit-tabella tar-rotot li tindika lejn lista ta’ prefissi amministrata. M’għandux interface tan-netwerk, grupp tas-sigurtà jew indirizz privat tiegħu stess, u għalhekk host fuq il-post ma jistax jirrotta lejh: m’hemm xejn fuq in-naħa l-oħra li wieħed jirrotta lejh. Traffiku minn ġewwa l-VPC jasal għal S3 għax it-tabella tar-rotot tas-subnet tibgħat dak il-prefiss lejn il-punt tat-tmiem. Traffiku minn kullimkien ieħor m’għandux entrata bħal din x’jsegwi.

Punt tat-tmiem tal-interface huwa sett ta’ interfaces tan-netwerk fis-subnets li tagħżel, kull waħda b’indirizz privat minn dak is-subnet u grupp tas-sigurtà mehmuż. Din hija l-forma li klijent ibridu jista’ juża, għax hija destinazzjoni ordinarja li t-tunnel tiegħek jista’ jġorr pakketti lejha. Dan ifisser ukoll li l-punt tat-tmiem jikkonsma indirizzi fis-subnet u jistgħu jispiċċaw.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

Aqra l-kolonna Type u mhux l-isem. VPC waħda spiss iżżomm iż-żewġ tipi għall-istess servizz, u l-entrata li l-applikazzjoni tiegħek fuq il-post teħtieġ hija dik tal-interface.

Ibni l-mogħdija lejn l-indirizz tal-interface qabel ma tittestja S3

Tliet affarijiet iridu jkunu veri fl-istess ħin: ir-router fuq il-post għandu rotta lejn is-subnet tal-punt tat-tmiem, il-mogħdija lura minn dak is-subnet tasal għan-netwerk tal-klijent, u l-grupp tas-sigurtà tal-punt tat-tmiem jammetti l-firxa tas-sors tal-klijent. L-ACL tan-netwerk tas-subnet xorta jista’ jwarrab il-pakkett wara li jgħaddu it-tlieta, għalhekk iċċekkjah bħala r-raba’ punt u mhux bħala ħsieb tard.

Rotta li taħdem lejn xi istanza EC2 fil-VPC ma tipprova xejn minn dan. Turi biss li t-tunnel huwa ’l fuq, li hija l-unika parti tal-mogħdija li diġà kont taf. Ipprova l-indirizz tal-punt tat-tmiem separatament, imbagħad ipprova li l-isem jiġi riżolt lejh.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

L-ewwel kmand juri liema interface juża l-klijent. It-tieni jipprova handshake TCP. It-tielet jipprova li TLS jitlesta b’ċertifikat validu għall-isem tal-punt tat-tmiem, u dik hija l-verifika li taqbad indirizz żbaljat qabel ma tagħti t-tort lill-permessi.

Iddeċiedi liema tweġiba DNS tirċievi l-applikazzjoni

L-eżistenza ta’ punt tat-tmiem tal-interface fil-VPC ma tibdelx direzzjoni tal-SDK fuq il-post waħedha. Il-klijent juża jew l-isem speċifiku għall-punt tat-tmiem li AWS tippubblika għalih, jew żona ospitata privata li għamilt apposta riżolvibbli mill-uffiċċju.

Għar-riżoluzzjoni ibrida, ir-riżolutur fuq il-post jeħtieġ mogħdija appoġġjata lejn id-dehra tad-DNS tal-VPC, normalment permezz ta’ punt tat-tmiem deħlin tar-Resolver. L-attivazzjoni tad-DNS privat mingħajr ma tifhem liema sorsi ta’ mistoqsijiet taffettwa hija l-mod kif tfittxija tibda tirritorna indirizz li l-uffiċċju ma jistax jilħaq. Is-setting tibdel it-tweġibiet għall-mistoqsijiet li jaslu mir-riżolutur tal-VPC, mhux għal kull klijent kullimkien.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

Mexxi t-tnejn fuq il-host tal-applikazzjoni, mhux fuq kaxxa tal-qbiż fil-VPC. Ir-riżolutur li jwieġeb hemmhekk huwa dak li juża x-xogħol tiegħek, u tweġiba differenti minn host differenti hija l-aktar sors komuni ta’ konfużjoni f’dan id-disinn.

L-aċċessibilità mhijiex awtorizzazzjoni

Talba li tasal għall-punt tat-tmiem xorta teħtieġ prinċipal awtorizzat u permess tal-bucket applikabbli. Politika tal-punt tat-tmiem tista’ tnaqqas dak li jippermetti l-punt tat-tmiem, u politika tal-bucket tista’ tnaqqsu mill-ġdid. Li tasal għall-interface ma tgħid xejn dwar liema oġġetti jista’ jaqra s-sejjieħ.

Ittestja ż-żewġ direzzjonijiet: sejħa awtorizzata bla ħsara waħda kontra l-bucket maħsub, u sejħa waħda li mistenni tiġi miċħuda għal identità jew riżors barra mill-politika. Żomm l-isem tal-punt tat-tmiem, l-indirizz riżolt u l-kuntest tal-politika mar-riżultat sabiex il-persuna li jmiss tkun tista’ tirriproduċih. Ċaħda li ssemmi t-tip ta’ politika tiffranka siegħa ta’ tbassir.

Fl-aħħar, ipprezzja ż-żewġ għażliet qabel tipprovdi. Punt tat-tmiem tal-interface jiġi fatturat kull siegħa ta’ interface u kull gigabyte, filwaqt li punt tat-tmiem tal-gateway le, u dik id-differenza tiddeċiedi l-mistoqsija għal ħafna tagħbijiet ta’ volum baxx li għandhom bżonn biss aċċess min-naħa tal-VPC.