S3: gateway- of interface-endpoint voor toegang vanaf het lokale netwerk

Twee soorten S3-endpoints lijken in een ontwerpbeoordeling uitwisselbaar en gedragen zich totaal anders zodra de client zich buiten de locatie bevindt. Een gateway-endpoint is een integratie met de routetabel binnen een VPC, dus een verzoek van een locatie-VPN komt daar nooit aan als particuliere bestemming. Een interface-endpoint plaatst particuliere adressen op netwerkinterfaces, en dat kan een hybride pad echt bereiken. Alles wat volgt hangt af van welke van de twee je hebt gekozen.

Beslis op basis van de netwerkinvoer, niet op basis van de servicenaam

Begin bij waar het verkeer ontstaat, want dat is de vraag die het endpointtype beantwoordt. Een workload in een ondersteunde VPC-context kan een gateway-endpoint gebruiken en heeft nooit een eigen particulier adres nodig. Een workload op locatie heeft een particulier adres nodig waar het naartoe kan routeren, en dat biedt een interface-endpoint. Als een ontwerp beide mengt, kunnen beide endpointtypen in één VPC naast elkaar bestaan, en dat is een normale regeling en geen duplicatie.

Ze mengen is niet het probleem. Aannemen dat het ene type het andere dekt, is dat wel.

Classificeer de client voordat je iets kiest. Een werkruimte binnen de VPC, een container achter een NAT-gateway en een applicatie op een filiaal zijn drie verschillende bronnen, en alleen de laatste dwingt de hybride ingang af. Schrijf die classificatie naast de endpointinventaris zodat de volgende beoordelaar ziet waarom elk endpoint bestaat.

Wat het interfacepad van begin tot eind vereist

Een interface-endpoint verleent bereikbaarheid van particuliere adressen, en bereikbaarheid is slechts één van de vier vereisten. Het lokale netwerk heeft een route naar die adressen nodig, de VPC-kant heeft een terugweg nodig, de beveiligingsgroep van het endpoint moet het bronbereik toelaten, en elk inspectieapparaat ertussen moet de stroom toestaan. Een route naar een of andere instantie in de VPC bewijst geen van de vier.

Werk van het verre uiteinde terug. Bevestig dat de netwerkinterfaces van het endpoint in de subnetten bestaan die je verwacht, en bevestig dan dat de beveiligingsgroep het echte lokale bereik toelaat en geen plaatsaanduiding. Controleer daarna of de tunnel of het circuit de terugweg in dezelfde richting draagt. Inspectie is de stap die mensen overslaan, omdat een tussenapparaat dat de verbinding toestaat nog steeds een grotere antwoordtekst kan laten vallen, en dat ziet eruit als een doorvoerprobleem en niet als een beleidsprobleem.

Test met de kleinste toegestane bewerking die beschikbaar is in plaats van een grote download. De fout verschijnt eerder en met minder verkeer om te verklaren.

DNS volgt de bron van de query, niet de VPC

Een endpoint dat bestaat leidt niets vanzelf om. De applicatie ontvangt de naam die de resolver heeft teruggegeven, en de resolver antwoordt volgens de weergave die hij mag zien. Een instantie binnen de VPC en een laptop op kantoor stellen twee verschillende vragen en kunnen beide juiste, verschillende antwoorden krijgen. Het ene verifiëren en over het andere concluderen is hoe een geslaagde test een mislukte uitrol wordt.

Lees de particuliere DNS-instelling van het endpoint als onderdeel van het ontwerp, niet als een selectievakje dat na de livegang wordt aangezet.

Als de resolver op kantoor de weergave van de VPC moet zien, moet dat pad met opzet worden gebouwd, meestal via een inkomend resolver-endpoint. Vraag vanuit de eigen context van de applicatie en noteer welke resolver antwoordde. Een resultaat dat op een bastionhost binnen de VPC is verzameld, beschrijft de weergave van het bastion en niets anders.

Machtiging staat los van bereikbaarheid

Een bereikbaar endpoint retourneert fouten voor verzoeken die de principal niet mag doen, en die fout betekent dat het systeem werkt zoals ontworpen. Identiteitsbeleid, bucketbeleid en elk endpointbeleid worden in hun eigen lagen geëvalueerd. Netwerktoegang heeft nooit een machtiging gegeven.

Accepteer het ontwerp op twee resultaten: een onschadelijke gemachtigde aanroep die slaagt, en een verwachte weigering voor een uitgesloten identiteit of bucket.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Noteer de endpointnaam, de opgeloste bestemming en de beleidscontext naast elk resultaat, omdat één latere DNS-wijziging de hele conclusie ongeldig kan maken. Vergelijk de huidige kosten en het operationele gewicht van beide endpointtypen voordat je iets inricht. Een interface-endpoint koopt een hybride particuliere ingang, het is geen universele vereiste, en het gatewaypad blijft vaak het betere antwoord voor workloads binnen de VPC. De keuze is per client en blijft herzienbaar.