S3: gateway- eller grensesnittendepunkt for tilgang fra det lokale nettverket

To typer S3-endepunkter ser utbyttbare ut i en designgjennomgang og oppfører seg helt forskjellig når klienten først sitter utenfor anlegget. Et gateway-endepunkt er en integrasjon i rutetabellen inne i en VPC, så en forespørsel fra en anleggs-VPN når aldri frem til det som en privat destinasjon. Et grensesnittendepunkt setter private adresser på nettverksgrensesnitt, og det kan en hybrid vei faktisk nå. Alt som følger avhenger av hvilken av de to du valgte.

Beslutt ut fra nettverksinngangen, ikke ut fra tjenestenavnet

Start der trafikken oppstår, for det er spørsmålet endepunkttypen besvarer. En arbeidsbelastning i en støttet VPC-kontekst kan bruke et gateway-endepunkt og trenger aldri sin egen private adresse. En arbeidsbelastning på anlegget trenger en privat adresse den kan rute til, og det er nettopp det et grensesnittendepunkt gir. Hvis et design blander begge, kan begge endepunkttypene eksistere side om side i én VPC, og det er en normal ordning og ikke en duplisering.

Å blande dem er ikke problemet. Å anta at den ene typen dekker den andre er det.

Klassifiser klienten før du velger noe. Et arbeidsområde inne i VPC-en, en container bak en NAT-gateway og en applikasjon på et filialkontor er tre forskjellige kilder, og bare den siste tvinger den hybride inngangen. Skriv den klassifiseringen ved siden av endepunktinventaret slik at neste gjennomgang ser hvorfor hvert endepunkt finnes.

Hva grensesnittveien krever fra ende til annen

Et grensesnittendepunkt gir tilgjengelighet til private adresser, og tilgjengelighet er bare ett av fire krav. Det lokale nettverket trenger en rute til disse adressene, VPC-siden trenger en returvei, sikkerhetsgruppen til endepunktet må tillate kildeområdet, og enhver inspeksjonsenhet imellom må tillate strømmen. En rute til en eller annen instans i VPC-en beviser ingen av de fire.

Arbeid fra den fjerne enden og bakover. Bekreft at endepunktets nettverksgrensesnitt finnes i undernettene du forventer, og bekreft deretter at sikkerhetsgruppen tillater det virkelige lokale området og ikke en plassholder. Sjekk så om tunnelen eller kretsen bærer returveien i samme retning. Inspeksjon er trinnet folk hopper over, fordi en mellomliggende enhet som tillater forbindelsen fortsatt kan forkaste en større svarkropp, og det ser ut som et gjennomstrømningsproblem i stedet for et policyproblem.

Test med den minste tillatte operasjonen som er tilgjengelig i stedet for en stor nedlasting. Feilen viser seg tidligere og med mindre trafikk å gjøre rede for.

DNS følger forespørselskilden, ikke VPC-en

Et endepunkt som finnes omdirigerer ikke noe av seg selv. Applikasjonen mottar navnet resolveren returnerte, og resolveren svarer etter den visningen den har lov til å se. En instans inne i VPC-en og en bærbar PC på kontoret stiller to forskjellige spørsmål og kan begge få riktige, men ulike svar. Å verifisere det ene og konkludere om det andre er måten en bestått test blir en mislykket utrulling.

Les endepunktets private DNS-innstilling som en del av designet, ikke som en avkrysningsboks som slås på etter lansering.

Hvis kontorets resolver må se VPC-ens visning, må den veien bygges med vilje, vanligvis via et innkommende resolver-endepunkt. Spør fra applikasjonens egen kontekst og noter hvilken resolver som svarte. Et resultat samlet inn på en bastionvert inne i VPC-en beskriver bastionens visning og ingenting annet.

Tillatelse er atskilt fra tilgjengelighet

Et tilgjengelig endepunkt returnerer feil for forespørsler som principalen ikke har lov til å gjøre, og den feilen betyr at systemet fungerer som designet. Identitetspolicy, bucket-policy og enhver endepunktspolicy vurderes i sine egne lag. Nettverkstilgang har aldri gitt en tillatelse.

Godta designet på to resultater: et harmløst autorisert kall som lykkes, og en forventet avvisning for en utelukket identitet eller bucket.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Noter endepunktets navn, den oppslåtte destinasjonen og policysammenhengen ved hvert resultat, fordi én senere DNS-endring kan ugyldiggjøre hele konklusjonen. Sammenlign dagens kostnad og den operasjonelle vekten til begge endepunkttypene før du etablerer noe. Et grensesnittendepunkt kjøper en hybrid privat inngang, det er ikke et universelt krav, og gateway-veien er ofte det bedre svaret for arbeidsbelastninger inne i VPC-en. Valget er per klient, og det kan alltid tas opp igjen.