S3: gateway- eller grensesnittendepunkt for tilgang frå det lokale nettverket

To typar S3-endepunkt ser utbyttbare ut i ein designgjennomgang og oppfører seg heilt annleis når klienten først sit utanfor anlegget. Eit gateway-endepunkt er ein integrasjon i rutetabellen inne i ein VPC, så ein førespurnad frå ein anleggs-VPN når aldri fram til det som ein privat destinasjon. Eit grensesnittendepunkt set private adresser på nettverksgrensesnitt, og det kan ein hybrid veg faktisk nå. Alt som følgjer, avheng av kva av dei to du valde.

Avgjer ut frå nettverksinngangen, ikkje ut frå tenestenamnet

Start der trafikken oppstår, for det er spørsmålet endepunkttypen svarar på. Ei arbeidsbelastning i ein støtta VPC-kontekst kan bruke eit gateway-endepunkt og treng aldri si eiga private adresse. Ei arbeidsbelastning på anlegget treng ei privat adresse ho kan rute til, og det er nettopp det eit grensesnittendepunkt gir. Viss eit design blandar begge, kan begge endepunkttypane eksistere side om side i ein VPC, og det er ei normal ordning og ikkje ein duplisering.

Å blande dei er ikkje problemet. Å anta at den eine typen dekkjer den andre er det.

Klassifiser klienten før du vel noko. Eit arbeidsområde inne i VPC-en, ein container bak ein NAT-gateway og ein applikasjon på eit filialkontor er tre ulike kjelder, og berre den siste tvingar den hybride inngangen. Skriv den klassifiseringa ved sida av endepunktinventaret slik at neste gjennomgang ser kvifor kvart endepunkt finst.

Kva grensesnittvegen krev frå ende til annan

Eit grensesnittendepunkt gir tilgjenge til private adresser, og tilgjenge er berre eitt av fire krav. Det lokale nettverket treng ei rute til desse adressene, VPC-sida treng ein returveg, tryggingsgruppa til endepunktet må tillate kjeldeområdet, og kvar som helst inspeksjonseining imellom må tillate straumen. Ei rute til ein eller annan instans i VPC-en provar ingen av dei fire.

Arbeid frå den fjerne enden og bakover. Stadfest at nettverksgrensesnitta til endepunktet finst i undernetta du ventar, og stadfest deretter at tryggingsgruppa tillèt det verkelege lokale området og ikkje ein plasshaldar. Sjekk så om tunnelen eller krinsen ber returvegen i same retning. Inspeksjon er trinnet folk hoppar over, fordi eining mellom som tillèt sambandet framleis kan kaste ein større svarkropp, og det ser ut som eit gjennomstrøymingsproblem i staden for eit policyproblem.

Test med den minste tillatne operasjonen som er tilgjengeleg i staden for ein stor nedlasting. Feilen viser seg tidlegare og med mindre trafikk å gjere greie for.

DNS følgjer førespurnadskjelda, ikkje VPC-en

Eit endepunkt som finst omdirigerer ikkje noko av seg sjølv. Applikasjonen mottek namnet resolveren returnerte, og resolveren svarar etter den visinga han har løyve til å sjå. Ein instans inne i VPC-en og ein berbar PC på kontoret stiller to ulike spørsmål og kan begge få riktige, men ulike svar. Å verifisere det eine og konkludere om det andre er måten ein bestått test blir ein mislukka utrulling.

Les den private DNS-innstillinga til endepunktet som ein del av designet, ikkje som ein avkryssingsboks som blir slått på etter lansering.

Viss resolveren på kontoret må sjå visinga til VPC-en, må den vegen byggjast med vilje, vanlegvis via eit innkomande resolver-endepunkt. Spør frå eigen kontekst av applikasjonen og noter kva resolver som svara. Eit resultat samla inn på ein bastionvert inne i VPC-en skildrar visinga til bastionen og ingenting anna.

Løyve er skilt frå tilgjenge

Eit tilgjengeleg endepunkt returnerer feil for førespurnader som principalen ikkje har løyve til å gjere, og den feilen betyr at systemet fungerer som designa. Identitetspolicy, bucket-policy og kvar som helst endepunktspolicy blir vurderte i sine eigne lag. Nettverkstilgang har aldri gitt eit løyve.

Godta designet på to resultat: eit harmlaust autorisert kall som lukkast, og ei forventa avvising for ein utelukka identitet eller bucket.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Noter namnet til endepunktet, den oppslåtte destinasjonen og policysamanhengen ved kvart resultat, fordi éi seinare DNS-endring kan gjere heile konklusjonen ugyldig. Samanlikn dagens kostnad og den operasjonelle vekta til begge endepunkttypane før du etablerer noko. Eit grensesnittendepunkt kjøper ein hybrid privat inngang, det er ikkje eit universelt krav, og gateway-vegen er ofte det betre svaret for arbeidsbelastningar inne i VPC-en. Valet er per klient, og det kan alltid takast opp att.