S3: स्थानीय नेटवर्कबाट पहुँचका लागि गेटवे वा इन्टरफेस इन्डपोइन्ट

दुई प्रकारका S3 इन्डपोइन्ट डिजाइन समीक्षामा विनिमययोग्य देखिन्छन् र ग्राहक साइटबाहिर पुग्ने बित्तिकै पूर्ण रूपमा फरक व्यवहार गर्छन्। गेटवे इन्डपोइन्ट VPC भित्रको रुट तालिकासँगको एकीकरण हो, त्यसैले साइट VPN बाट आएको अनुरोध कहिल्यै निजी गन्तव्यका रूपमा त्यहाँ पुग्दैन। इन्टरफेस इन्डपोइन्टले निजी ठेगानाहरू नेटवर्क इन्टरफेसमा राख्छ, जहाँ हाइब्रिड मार्गले वास्तवमै पुग्न सक्छ। यसपछिको सबै कुरा तपाईंले यी दुईमध्ये कुन रोज्नुभयो त्यसमा निर्भर छ।

सेवाको नामले होइन, नेटवर्क प्रवेशले निर्णय गर्नुहोस्

ट्राफिक उत्पन्न हुने ठाउँबाट सुरु गर्नुहोस्, किनकि इन्डपोइन्ट प्रकारले यही प्रश्नको उत्तर दिन्छ। समर्थित VPC सन्दर्भमा रहेको कार्यभारले गेटवे इन्डपोइन्ट प्रयोग गर्न सक्छ र कहिल्यै आफ्नै निजी ठेगाना आवश्यक पर्दैन। साइटमा रहेको कार्यभारलाई रुट गर्न सकिने निजी ठेगाना चाहिन्छ, र इन्टरफेस इन्डपोइन्टले ठ्याक्कै त्यही दिन्छ। यदि डिजाइनले दुवै मिसाउँछ भने, दुवै इन्डपोइन्ट प्रकार एउटै VPC मा सहअस्तित्वमा रहन सक्छन्, र यो नक्कल होइन, सामान्य व्यवस्था हो।

तिनीहरूलाई मिसाउनु समस्या होइन। एउटा प्रकारले अर्कोलाई समेट्छ भन्ने मान्नु समस्या हो।

केही रोज्नु अघि ग्राहकको वर्गीकरण गर्नुहोस्। VPC भित्रको कार्यक्षेत्र, NAT गेटवे पछाडिको कन्टेनर र शाखा कार्यालयको अनुप्रयोग तीन फरक स्रोत हुन्, र अन्तिमले मात्र हाइब्रिड प्रवेशलाई बाध्य गर्छ। यो वर्गीकरण इन्डपोइन्ट सूचीको छेउमा लेख्नुहोस् ताकि अर्को समीक्षकले प्रत्येक इन्डपोइन्ट किन छ भनेर देख्न सकोस्।

इन्टरफेस मार्गलाई सुरुदेखि अन्त्यसम्म के चाहिन्छ

इन्टरफेस इन्डपोइन्टले निजी ठेगानासम्म पहुँच दिन्छ, र पहुँच चार आवश्यकतामध्ये एउटा मात्र हो। स्थानीय नेटवर्कलाई ती ठेगानासम्म मार्ग चाहिन्छ, VPC पक्षलाई फर्कने मार्ग चाहिन्छ, इन्डपोइन्टको सुरक्षा समूहले स्रोत दायरा स्वीकार्नुपर्छ, र दुवैबीचको कुनै पनि निरीक्षण उपकरणले प्रवाहलाई अनुमति दिनुपर्छ। VPC मा कुनै पनि इन्स्टेन्ससम्मको मार्गले यी चारमध्ये एउटै पनि प्रमाणित गर्दैन।

टाढाको छेउबाट पछाडि काम गर्नुहोस्। इन्डपोइन्टका नेटवर्क इन्टरफेस तपाईंले अपेक्षा गरेका सबनेटमा छन् भनी पुष्टि गर्नुहोस्, त्यसपछि यसको सुरक्षा समूहले प्लेसहोल्डर होइन, वास्तविक स्थानीय दायरा स्वीकार्छ भनी पुष्टि गर्नुहोस्। त्यसपछि सुरुङ वा सर्किटले उही दिशामा फर्कने मार्ग बोक्छ कि भनी जाँच्नुहोस्। निरीक्षण त्यो चरण हो जुन मानिसहरूले छोड्छन्, किनकि जडानलाई अनुमति दिने मध्य उपकरणले पनि ठूलो प्रतिक्रिया निकाय खसाल्न सक्छ, र त्यो नीतिको समस्या होइन, थ्रूपुटको समस्या जस्तो देखिन्छ।

ठूलो डाउनलोडको सट्टा उपलब्ध सबैभन्दा सानो अधिकृत कार्यसँग परीक्षण गर्नुहोस्। असफलता चाँडै र व्याख्या गर्न कम ट्राफिकसहित देखिन्छ।

DNS ले VPC लाई होइन, क्वेरीको स्रोतलाई पछ्याउँछ

अवस्थित इन्डपोइन्टले आफैं केही पनि पुनर्निर्देशित गर्दैन। अनुप्रयोगले आफ्नो रिजोल्भरले फर्काएको नाम पाउँछ, र रिजोल्भरले आफूलाई देख्न अनुमति दिइएको दृश्यअनुसार जवाफ दिन्छ। VPC भित्रको इन्स्टेन्स र कार्यालयको ल्यापटप दुई फरक प्रश्न सोध्छन् र दुवैले सही तर फरक जवाफ पाउन सक्छन्। एउटा प्रमाणित गरी अर्कोबारे निष्कर्ष निकाल्नु भनेको पास भएको परीक्षणलाई असफल परिनियोजनमा बदल्ने बाटो हो।

इन्डपोइन्टको निजी DNS सेटिङलाई डिजाइनको भागका रूपमा पढ्नुहोस्, लाइभ भएपछि खोलिने चेकबक्सका रूपमा होइन।

यदि कार्यालयको रिजोल्भरले VPC को दृश्य देख्नुपर्छ भने, त्यो मार्ग जानाजान बनाइनुपर्छ, सामान्यतया इनबाउन्ड रिजोल्भर इन्डपोइन्टमार्फत। अनुप्रयोगको आफ्नै सन्दर्भबाट क्वेरी गर्नुहोस् र कुन रिजोल्भरले जवाफ दियो नोट गर्नुहोस्। VPC भित्रको बास्टियन होस्टमा संकलित नतिजाले बास्टियनको दृश्य मात्र वर्णन गर्छ, अरू केही होइन।

अनुमति पहुँचबाट अलग छ

पहुँचयोग्य इन्डपोइन्टले प्रिन्सिपललाई गर्न अनुमति नभएका अनुरोधहरूका लागि त्रुटि फर्काउँछ, र त्यो त्रुटिको अर्थ प्रणाली डिजाइनअनुसार चलिरहेको छ। पहिचान नीति, बकेट नीति र कुनै पनि इन्डपोइन्ट नीति आ-आफ्नै तहमा मूल्यांकन गरिन्छ। नेटवर्क पहुँचले कहिल्यै अनुमति दिएको छैन।

दुई नतिजाका आधारमा डिजाइन स्वीकार गर्नुहोस्: सफल हुने हानिरहित अधिकृत कल, र बहिष्कृत पहिचान वा बकेटका लागि अपेक्षित अस्वीकृति।

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

प्रत्येक नतिजाको छेउमा इन्डपोइन्टको नाम, समाधान गरिएको गन्तव्य र नीति सन्दर्भ लेख्नुहोस्, किनकि पछिको एक DNS परिवर्तनले सम्पूर्ण निष्कर्ष अमान्य गर्न सक्छ। केही प्रावधान गर्नु अघि दुवै इन्डपोइन्ट प्रकारको वर्तमान लागत र परिचालन भार तुलना गर्नुहोस्। इन्टरफेस इन्डपोइन्टले हाइब्रिड निजी प्रवेश किन्छ, यो सार्वभौमिक आवश्यकता होइन, र VPC भित्रका कार्यभारका लागि गेटवे मार्ग प्रायः राम्रो उत्तर रहन्छ। छनोट प्रत्येक ग्राहकका लागि हो र यो पुनरावलोकनयोग्य रहन्छ।