ਆਨ-ਪ੍ਰੀਮਾਈਸਿਸ ਕਲਾਇੰਟ ਲਈ S3 ਗੇਟਵੇ ਜਾਂ ਇੰਟਰਫੇਸ ਐਂਡਪੌਇੰਟ?

ਸਾਈਟ VPN ਰਾਹੀਂ ਦਫ਼ਤਰ ਨੈੱਟਵਰਕ ਤੋਂ S3 ਤੱਕ ਪਹੁੰਚਣਾ ਉਹ ਰੂਟਿੰਗ ਸਮੱਸਿਆ ਨਹੀਂ ਜੋ ਸਥਿਰ ਰੂਟ ਇਕੱਲਾ ਹੱਲ ਕਰ ਸਕੇ। ਗੇਟਵੇ ਐਂਡਪੌਇੰਟ ਰੂਟ ਟੇਬਲ ਨਾਲ ਜੁੜਿਆ ਹੁੰਦਾ ਹੈ ਅਤੇ VPC ਦੇ ਅੰਦਰ ਪੈਦਾ ਹੋਣ ਵਾਲੀਆਂ ਬੇਨਤੀਆਂ ਦੀ ਸੇਵਾ ਕਰਦਾ ਹੈ। ਇੰਟਰਫੇਸ ਐਂਡਪੌਇੰਟ ਤੁਹਾਡੇ ਸਬਨੈੱਟਾਂ ਵਿੱਚ ਨਿੱਜੀ ਪਤਿਆਂ ਵਾਲੇ ਲਚਕਦਾਰ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਰੱਖਦਾ ਹੈ, ਅਤੇ ਉਨ੍ਹਾਂ ਪਤਿਆਂ ਤੱਕ VPN ਜਾਂ Direct Connect ਰਾਹੀਂ ਆਨ-ਪ੍ਰੀਮਾਈਸਿਸ ਤੋਂ ਪਹੁੰਚਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਬੇਨਤੀ ਕਿੱਥੋਂ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ ਇਹ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਤੁਹਾਨੂੰ ਅਸਲ ਵਿੱਚ ਦੋਹਾਂ ਵਿੱਚੋਂ ਕੀ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ DNS, ਸੁਰੱਖਿਆ ਗਰੁੱਪ ਤੇ ਨੀਤੀ ਦਾ ਕੰਮ ਉਸੇ ਜਵਾਬ ਤੋਂ ਆਉਂਦਾ ਹੈ।

ਬੇਨਤੀ ਕਿੱਥੋਂ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ ਦੇ ਆਧਾਰ ’ਤੇ ਐਂਡਪੌਇੰਟ ਦੀਆਂ ਕਿਸਮਾਂ ਵੱਖ ਕਰੋ

ਗੇਟਵੇ ਐਂਡਪੌਇੰਟ ਪ੍ਰਬੰਧਿਤ ਪ੍ਰੀਫ਼ਿਕਸ ਸੂਚੀ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੀ ਰੂਟ-ਟੇਬਲ ਐਂਟਰੀ ਵਜੋਂ ਦਿਖਦਾ ਹੈ। ਇਸਦਾ ਕੋਈ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ, ਸੁਰੱਖਿਆ ਗਰੁੱਪ ਜਾਂ ਆਪਣਾ ਨਿੱਜੀ ਪਤਾ ਨਹੀਂ ਹੁੰਦਾ, ਅਤੇ ਇਸੇ ਕਾਰਨ ਆਨ-ਪ੍ਰੀਮਾਈਸਿਸ ਹੋਸਟ ਇਸ ਵੱਲ ਰੂਟ ਨਹੀਂ ਕਰ ਸਕਦਾ: ਪਾਰ ਰੂਟ ਕਰਨ ਲਈ ਕੁਝ ਵੀ ਨਹੀਂ ਹੈ। VPC ਦੇ ਅੰਦਰੋਂ ਟ੍ਰੈਫ਼ਿਕ S3 ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ ਕਿਉਂਕਿ ਸਬਨੈੱਟ ਦੀ ਰੂਟ ਟੇਬਲ ਉਹ ਪ੍ਰੀਫ਼ਿਕਸ ਐਂਡਪੌਇੰਟ ਨੂੰ ਭੇਜਦੀ ਹੈ। ਕਿਸੇ ਹੋਰ ਥਾਂ ਤੋਂ ਆਉਣ ਵਾਲੇ ਟ੍ਰੈਫ਼ਿਕ ਕੋਲ ਫਾਲੋ ਕਰਨ ਲਈ ਅਜਿਹੀ ਕੋਈ ਐਂਟਰੀ ਨਹੀਂ ਹੁੰਦੀ।

ਇੰਟਰਫੇਸ ਐਂਡਪੌਇੰਟ ਤੁਹਾਡੇ ਚੁਣੇ ਸਬਨੈੱਟਾਂ ਵਿੱਚ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਦਾ ਸਮੂਹ ਹੈ, ਹਰ ਇੱਕ ਦੇ ਉਸ ਸਬਨੈੱਟ ਤੋਂ ਨਿੱਜੀ ਪਤਾ ਅਤੇ ਜੁੜਿਆ ਸੁਰੱਖਿਆ ਗਰੁੱਪ ਹੁੰਦਾ ਹੈ। ਹਾਈਬ੍ਰਿਡ ਕਲਾਇੰਟ ਇਹੀ ਆਕਾਰ ਵਰਤ ਸਕਦਾ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਆਮ ਮੰਜ਼ਿਲ ਹੈ ਜਿੱਥੇ ਤੁਹਾਡਾ ਟਨਲ ਪੈਕਟ ਲੈ ਜਾ ਸਕਦਾ ਹੈ। ਇਸਦਾ ਇਹ ਵੀ ਮਤਲਬ ਹੈ ਕਿ ਐਂਡਪੌਇੰਟ ਸਬਨੈੱਟ ਵਿੱਚ ਪਤੇ ਖ਼ਰਚਦਾ ਹੈ ਅਤੇ ਉਹ ਖ਼ਤਮ ਹੋ ਸਕਦੇ ਹਨ।

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

ਨਾਮ ਦੀ ਬਜਾਏ Type ਕਾਲਮ ਪੜ੍ਹੋ। ਇੱਕੋ VPC ਆਮ ਤੌਰ ’ਤੇ ਇੱਕੋ ਸੇਵਾ ਲਈ ਦੋਵੇਂ ਕਿਸਮਾਂ ਰੱਖਦਾ ਹੈ, ਅਤੇ ਤੁਹਾਡੀ ਆਨ-ਪ੍ਰੀਮਾਈਸਿਸ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਜੋ ਐਂਟਰੀ ਚਾਹੀਦੀ ਹੈ ਉਹ ਇੰਟਰਫੇਸ ਵਾਲੀ ਹੈ।

S3 ਦੀ ਜਾਂਚ ਤੋਂ ਪਹਿਲਾਂ ਇੰਟਰਫੇਸ ਪਤੇ ਤੱਕ ਦਾ ਮਾਰਗ ਬਣਾਓ

ਤਿੰਨ ਗੱਲਾਂ ਇੱਕੋ ਸਮੇਂ ਸੱਚ ਹੋਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ: ਆਨ-ਪ੍ਰੀਮਾਈਸਿਸ ਰਾਊਟਰ ਕੋਲ ਐਂਡਪੌਇੰਟ ਸਬਨੈੱਟ ਤੱਕ ਰੂਟ ਹੈ, ਉਸ ਸਬਨੈੱਟ ਤੋਂ ਵਾਪਸੀ ਦਾ ਮਾਰਗ ਕਲਾਇੰਟ ਨੈੱਟਵਰਕ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ, ਅਤੇ ਐਂਡਪੌਇੰਟ ਦਾ ਸੁਰੱਖਿਆ ਗਰੁੱਪ ਕਲਾਇੰਟ ਦੀ ਸਰੋਤ ਰੇਂਜ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ। ਤਿੰਨੇ ਪਾਸ ਹੋਣ ਤੋਂ ਬਾਅਦ ਵੀ ਸਬਨੈੱਟ ਦਾ ਨੈੱਟਵਰਕ ACL ਪੈਕਟ ਡੇਗ ਸਕਦਾ ਹੈ, ਇਸ ਲਈ ਇਸਨੂੰ ਬਾਅਦ ਦੀ ਸੋਚ ਨਹੀਂ ਸਗੋਂ ਚੌਥੀ ਮਦ ਵਜੋਂ ਜਾਂਚੋ।

VPC ਵਿੱਚ ਕਿਸੇ EC2 ਇੰਸਟੈਂਸ ਤੱਕ ਕੰਮ ਕਰਨ ਵਾਲਾ ਰੂਟ ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ। ਇਹ ਸਿਰਫ਼ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਟਨਲ ਚਾਲੂ ਹੈ, ਜੋ ਤੁਹਾਨੂੰ ਪਹਿਲਾਂ ਹੀ ਪਤਾ ਸੀ ਮਾਰਗ ਦਾ ਇੱਕੋ ਹਿੱਸਾ ਹੈ। ਐਂਡਪੌਇੰਟ ਦਾ ਪਤਾ ਵੱਖਰੇ ਤੌਰ ’ਤੇ ਸਾਬਤ ਕਰੋ, ਫਿਰ ਸਾਬਤ ਕਰੋ ਕਿ ਨਾਮ ਉਸ ਵਿੱਚ ਹੱਲ ਹੁੰਦਾ ਹੈ।

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

ਪਹਿਲਾ ਕਮਾਂਡ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਕਲਾਇੰਟ ਕਿਹੜਾ ਇੰਟਰਫੇਸ ਵਰਤੇਗਾ। ਦੂਜਾ TCP ਹੱਥ ਮਿਲਾਉਣਾ ਸਾਬਤ ਕਰਦਾ ਹੈ। ਤੀਜਾ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ TLS ਐਂਡਪੌਇੰਟ ਨਾਮ ਲਈ ਵੈਧ ਸਰਟੀਫ਼ਿਕੇਟ ਨਾਲ ਪੂਰਾ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਇਜਾਜ਼ਤਾਂ ਨੂੰ ਦੋਸ਼ ਦੇਣ ਤੋਂ ਪਹਿਲਾਂ ਗ਼ਲਤ ਪਤਾ ਫੜਨ ਵਾਲੀ ਜਾਂਚ ਇਹੀ ਹੈ।

ਤੈਅ ਕਰੋ ਕਿ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਕਿਹੜਾ DNS ਜਵਾਬ ਮਿਲਦਾ ਹੈ

VPC ਵਿੱਚ ਇੰਟਰਫੇਸ ਐਂਡਪੌਇੰਟ ਹੋਣਾ ਆਪਣੇ ਆਪ ਆਨ-ਪ੍ਰੀਮਾਈਸਿਸ SDK ਨੂੰ ਮੁੜ-ਨਿਰਦੇਸ਼ਿਤ ਨਹੀਂ ਕਰਦਾ। ਕਲਾਇੰਟ ਜਾਂ ਤਾਂ AWS ਵੱਲੋਂ ਉਸ ਐਂਡਪੌਇੰਟ ਲਈ ਪ੍ਰਕਾਸ਼ਿਤ ਐਂਡਪੌਇੰਟ-ਖ਼ਾਸ ਨਾਮ ਵਰਤਦਾ ਹੈ, ਜਾਂ ਦਫ਼ਤਰ ਤੋਂ ਹੱਲਯੋਗ ਬਣਾਉਣ ਲਈ ਤੁਹਾਡੇ ਵੱਲੋਂ ਜਾਣ-ਬੁੱਝ ਕੇ ਬਣਾਇਆ ਨਿੱਜੀ ਹੋਸਟਿਡ ਜ਼ੋਨ ਵਰਤਦਾ ਹੈ।

ਹਾਈਬ੍ਰਿਡ ਹੱਲ ਲਈ ਆਨ-ਪ੍ਰੀਮਾਈਸਿਸ ਰਿਜ਼ੌਲਵਰ ਨੂੰ VPC ਦੇ DNS ਦ੍ਰਿਸ਼ ਤੱਕ ਸਮਰਥਿਤ ਮਾਰਗ ਚਾਹੀਦਾ ਹੈ, ਆਮ ਤੌਰ ’ਤੇ Resolver ਇਨਬਾਊਂਡ ਐਂਡਪੌਇੰਟ ਰਾਹੀਂ। ਇਹ ਸਮਝੇ ਬਿਨਾਂ ਨਿੱਜੀ DNS ਚਾਲੂ ਕਰਨਾ ਕਿ ਇਹ ਕਿਨ੍ਹਾਂ ਕਵੈਰੀ ਸਰੋਤਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ, ਉਹੀ ਤਰੀਕਾ ਹੈ ਜਿਸ ਨਾਲ ਖੋਜ ਦਫ਼ਤਰ ਦੀ ਪਹੁੰਚ ਤੋਂ ਬਾਹਰਲਾ ਪਤਾ ਵਾਪਸ ਕਰਨ ਲੱਗਦੀ ਹੈ। ਇਹ ਸੈਟਿੰਗ VPC ਰਿਜ਼ੌਲਵਰ ਰਾਹੀਂ ਆਉਣ ਵਾਲੀਆਂ ਕਵੈਰੀਆਂ ਦੇ ਜਵਾਬ ਬਦਲਦੀ ਹੈ, ਹਰ ਥਾਂ ਦੇ ਹਰ ਕਲਾਇੰਟ ਦੇ ਨਹੀਂ।

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

ਦੋਵੇਂ ਐਪਲੀਕੇਸ਼ਨ ਹੋਸਟ ’ਤੇ ਚਲਾਓ, VPC ਦੇ ਅੰਦਰਲੇ ਜੰਪ ਬਾਕਸ ’ਤੇ ਨਹੀਂ। ਉੱਥੇ ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਰਿਜ਼ੌਲਵਰ ਉਹੀ ਹੈ ਜੋ ਤੁਹਾਡਾ ਵਰਕਲੋਡ ਵਰਤਦਾ ਹੈ, ਅਤੇ ਕਿਸੇ ਹੋਰ ਹੋਸਟ ਤੋਂ ਵੱਖਰਾ ਜਵਾਬ ਇਸ ਡਿਜ਼ਾਈਨ ਵਿੱਚ ਸਭ ਤੋਂ ਆਮ ਉਲਝਣ ਦਾ ਸਰੋਤ ਹੈ।

ਪਹੁੰਚ ਹੋਣਾ ਅਧਿਕਾਰ ਨਹੀਂ ਹੈ

ਐਂਡਪੌਇੰਟ ਤੱਕ ਪਹੁੰਚਣ ਵਾਲੀ ਬੇਨਤੀ ਨੂੰ ਅਜੇ ਵੀ ਅਧਿਕ੍ਰਿਤ ਪ੍ਰਿੰਸੀਪਲ ਅਤੇ ਲਾਗੂ ਬਕੇਟ ਇਜਾਜ਼ਤ ਚਾਹੀਦੀ ਹੈ। ਐਂਡਪੌਇੰਟ ਨੀਤੀ ਸੀਮਤ ਕਰ ਸਕਦੀ ਹੈ ਕਿ ਐਂਡਪੌਇੰਟ ਕੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਬਕੇਟ ਨੀਤੀ ਇਸਨੂੰ ਹੋਰ ਸੀਮਤ ਕਰ ਸਕਦੀ ਹੈ। ਇੰਟਰਫੇਸ ਤੱਕ ਪਹੁੰਚਣਾ ਇਸ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਦੱਸਦਾ ਕਿ ਕਾਲਰ ਕਿਹੜੀਆਂ ਵਸਤੂਆਂ ਪੜ੍ਹ ਸਕਦਾ ਹੈ।

ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਜਾਂਚੋ: ਇੱਛਤ ਬਕੇਟ ਵਿਰੁੱਧ ਇੱਕ ਬੇਹਾਨੀ ਅਧਿਕ੍ਰਿਤ ਕਾਲ, ਅਤੇ ਨੀਤੀ ਤੋਂ ਬਾਹਰਲੀ ਪਛਾਣ ਜਾਂ ਸਰੋਤ ਲਈ ਇਨਕਾਰ ਹੋਣ ਦੀ ਉਮੀਦ ਵਾਲੀ ਇੱਕ ਕਾਲ। ਨਤੀਜੇ ਨਾਲ ਐਂਡਪੌਇੰਟ ਦਾ ਨਾਮ, ਹੱਲ ਹੋਇਆ ਪਤਾ ਅਤੇ ਨੀਤੀ ਦਾ ਸੰਦਰਭ ਰੱਖੋ ਤਾਂ ਜੋ ਅਗਲਾ ਵਿਅਕਤੀ ਇਸਨੂੰ ਦੁਬਾਰਾ ਬਣਾ ਸਕੇ। ਨੀਤੀ ਦੀ ਕਿਸਮ ਦੱਸਣ ਵਾਲਾ ਇਨਕਾਰ ਇੱਕ ਘੰਟੇ ਦਾ ਅੰਦਾਜ਼ਾ ਬਚਾਉਂਦਾ ਹੈ।

ਅੰਤ ਵਿੱਚ, ਪ੍ਰਬੰਧ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵੇਂ ਵਿਕਲਪਾਂ ਦੀ ਕੀਮਤ ਵੇਖੋ। ਇੰਟਰਫੇਸ ਐਂਡਪੌਇੰਟ ਇੰਟਰਫੇਸ-ਘੰਟੇ ਅਤੇ ਗੀਗਾਬਾਈਟ ਦੇ ਹਿਸਾਬ ਨਾਲ ਬਿੱਲ ਕਰਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਗੇਟਵੇ ਐਂਡਪੌਇੰਟ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਇਹੋ ਫ਼ਰਕ ਕਈ ਘੱਟ-ਮਾਤਰਾ ਵਰਕਲੋਡਾਂ ਲਈ ਸਵਾਲ ਤੈਅ ਕਰਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਨੂੰ ਸਿਰਫ਼ VPC ਪਾਸੇ ਦੀ ਪਹੁੰਚ ਚਾਹੀਦੀ ਹੈ।