S3: endpoint tal-gateway jew tal-interface għall-aċċess min-netwerk lokali

Żewġ tipi ta' endpoint S3 jidhru li jistgħu jinbidlu flimkien f'reviżjoni tad-disinn u jġibu ruħhom b'mod kompletament differenti malli l-klijent ikun barra mis-sit. Endpoint tal-gateway hija integrazzjoni mat-tabella tar-rotot ġewwa VPC, għalhekk talba minn VPN tas-sit qatt ma tasal għandha bħala destinazzjoni privata. Endpoint tal-interface iqiegħed indirizzi privati fuq interfaces tan-netwerk, u dan triq ibrida tista' tassew tilħaq. Kull ma jiġi wara jiddependi minn liema miż-żewġ għażilt.

Iddeċiedi mid-daħla tan-netwerk, mhux mill-isem tas-servizz

Ibda minn fejn jinħoloq it-traffiku, għax dik hija l-mistoqsija li tweġibha t-tip ta' endpoint. Tagħbija tax-xogħol f'kuntest ta' VPC appoġġjat tista' tuża endpoint tal-gateway u qatt ma għandha bżonn indirizz privat tagħha. Tagħbija tax-xogħol fuq il-post għandha bżonn indirizz privat li lejh tista' tirrotta, u dan jipprovdih endpoint tal-interface. Jekk disinn iħallat it-tnejn, iż-żewġ tipi ta' endpoint jistgħu jikkoeżistu f'VPC wieħed, u dan huwa arranġament normali u mhux duplikazzjoni.

It-taħlit tagħhom mhuwiex il-problema. Il-problema hija li wieħed jassumi li tip ikopri l-ieħor.

Ikklassifika lill-klijent qabel ma tagħżel xi ħaġa. Spazju tax-xogħol ġewwa l-VPC, kontenitur wara gateway NAT u applikazzjoni f'uffiċċju tal-fergħa huma tliet sorsi differenti, u biss tal-aħħar iġġiegħel id-daħla ibrida. Ikteb dik il-klassifikazzjoni ħdejn l-inventarju tal-endpoints sabiex il-verifikatur li jmiss jara għaliex jeżisti kull endpoint.

X'jinħtieġ it-triq tal-interface mill-bidu sat-tmiem

Endpoint tal-interface jagħti aċċessibilità għall-indirizzi privati, u l-aċċessibilità hija biss waħda minn erba' rekwiżiti. In-netwerk lokali jeħtieġ rotta lejn dawk l-indirizzi, in-naħa tal-VPC teħtieġ triq lura, il-grupp tas-sigurtà tal-endpoint irid jammetti l-firxa tas-sors, u kull apparat ta' spezzjoni bejniethom irid jippermetti l-fluss. Rotta lejn xi istanza fil-VPC ma tipprova l-ebda waħda mill-erbgħa.

Aħdem mit-tarf imbiegħed lura. Ivverifika li l-interfaces tan-netwerk tal-endpoint jeżistu fis-subnets li tistenna, imbagħad ivverifika li l-grupp tas-sigurtà tiegħu jammetti l-firxa lokali vera u mhux sostitut. Imbagħad iċċekkja jekk it-tunnell jew iċ-ċirkwit iġorrx it-triq lura fl-istess direzzjoni. L-ispezzjoni hija l-pass li n-nies jaqtgħu, għax apparat intermedju li jippermetti l-konnessjoni xorta jista' jwaqqa' korp ta' risposta akbar, u dan jidher bħala problema ta' throughput u mhux ta' politika.

Ittestja bl-iżgħar operazzjoni awtorizzata disponibbli minflok b'download kbir. Il-falliment jidher eqreb u b'inqas traffiku x'jiġi spjegat.

Id-DNS isegwi s-sors tal-mistoqsija, mhux il-VPC

Endpoint li jeżisti ma jdurx xejn minnu nnifsu. L-applikazzjoni tirċievi l-isem li rritorna r-resolver tagħha, u r-resolver iwieġeb skont il-veduta li hija permessa tara. Istanza ġewwa l-VPC u laptop fl-uffiċċju jagħmlu żewġ mistoqsijiet differenti u t-tnejn jistgħu jiksbu tweġibiet korretti iżda differenti. Li tivverifika waħda u tikkonkludi dwar l-oħra huwa kif test li jgħaddi jsir implimentazzjoni li tfalli.

Aqra l-konfigurazzjoni privata tad-DNS tal-endpoint bħala parti mid-disinn, mhux bħala kaxxa tal-kontroll li tixgħel wara l-bidu.

Jekk ir-resolver tal-uffiċċju għandu jara l-veduta tal-VPC, dik it-triq trid tinbena apposta, ġeneralment permezz ta' endpoint tar-resolver deħlin. Staqsi mill-kuntest tal-applikazzjoni stess u nnota liema resolver wieġeb. Riżultat miġbur fuq host bastion ġewwa l-VPC jiddeskrivi l-veduta tal-bastion u xejn aktar.

Il-permess huwa separat mill-aċċessibilità

Endpoint li jista' jintlaħaq iqajjem żbalji għal talbiet li l-prinċipal mhux permess jagħmel, u dak l-iżball ifisser li s-sistema taħdem kif iddisinjata. Il-politika tal-identità, il-politika tal-bucket u kwalunkwe politika tal-endpoint jiġu evalwati fil-livelli tagħhom stess. L-aċċess għan-netwerk qatt ma ta permess.

Aċċetta d-disinn fuq żewġ riżultati: sejħa awtorizzata bla ħsara li tirnexxi, u ċaħda mistennija għal identità jew bucket esklużi.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Irreġistra l-isem tal-endpoint, id-destinazzjoni riżolta u l-kuntest tal-politika ħdejn kull riżultat, għax bidla waħda fid-DNS aktar tard tista' tinvalida l-konklużjoni kollha. Qabbel l-ispiża attwali u l-piż operattiv taż-żewġ tipi ta' endpoint qabel tipprovdi xi ħaġa. Endpoint tal-interface jixtri daħla privata ibrida, mhuwiex rekwiżit universali, u t-triq tal-gateway spiss tibqa' l-aħjar tweġiba għal tagħbijiet tax-xogħol ġewwa l-VPC. L-għażla hija għal kull klijent u tibqa' reviżabbli.