د S3 ګیټوی یا د انټرفیس پای ټکی د سیمه ایز کلاینټ لپاره؟

له دفتر شبکې څخه د سایټ VPN له لارې S3 ته رسېدل د روټینګ هغه ستونزه نه ده چې ثابته لاره یې یوازې حل کړای شي۔ د ګیټوی پای ټکی د روټینګ جدولونو سره تړل کېږي او هغو غوښتنو خدمت کوي چې د VPC په داخل کې رامنځته کېږي۔ د انټرفیس پای ټکی ستاسو په فرعي شبکو کې د شخصي پتو سره انعطاف منونکي شبکه یي انټرفیسونه ځای پرځای کوي، او هغو پتو ته له سیمې څخه د VPN یا Direct Connect له لارې رسېدل کېدای شي۔ چې غوښتنه له کومه پیلېږي، هغه ټاکي چې تاسو ته په رښتیا د دواړو کوم یو ته اړتیا ده، او د DNS، امنیتي ګروپ او پالیسي کار له همدې ځواب څخه راځي۔

د پای ټکي ډولونه د غوښتنې د پیلېدو ځای له مخې بېل کړئ

د ګیټوی پای ټکی د روټینګ جدول یوې ننوتنې په ډول ښکاري چې یو مدیریت شوي مخکښ لیست ته اشاره کوي۔ هغه شبکه یي انټرفیس، امنیتي ګروپ او خپله شخصي پته نه لري، او همدا لامل دی چې سیمه ایز هوسټ نشي کولای ورته روټ وکړي: بل خوا د روټ کولو لپاره هېڅ شی نشته۔ د VPC له داخل څخه ترافیک S3 ته رسېږي ځکه چې د فرعي شبکې روټینګ جدول هغه مخکښ پای ټکي ته لېږي۔ له بل هر ځای څخه راتلونکي ترافیک د تعقیب لپاره داسې ننوتنه نه لري۔

د انټرفیس پای ټکی ستاسو په ټاکل شوو فرعي شبکو کې د شبکه یي انټرفیسونو یوه ټولګه ده، هر یو د هغې فرعي شبکې شخصي پته او نښلول شوی امنیتي ګروپ لري۔ دا هغه بڼه ده چې یو هایبرډ کلاینټ یې کارولای شي، ځکه چې دا یو عادي منزل دی چې ستاسو تونل کولای شي پکېټونه وربېرسوي۔ دا دا هم مانا لري چې پای ټکی په فرعي شبکه کې پتې لګوي او هغه ختمېدلای شي۔

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

د نوم پرځای Type کالم ولولئ۔ یو VPC معمولاً د یوې خدمت لپاره دواړه ډولونه لري، او هغه ننوتنه چې ستاسو سیمه ایز اپلیکیشن ورته اړتیا لري د انټرفیس ننوتنه ده۔

S3 له ازمویلو دمخه د انټرفیس پتې ته لاره جوړه کړئ

درې شیان باید یوځل سم وي: سیمه ایز روټر د پای ټکي فرعي شبکې ته لاره لري، له هغې فرعي شبکې څخه د بېرته راتلو لاره د کلاینټ شبکې ته رسېږي، او د پای ټکي امنیتي ګروپ د کلاینټ د سرچینې حد مني۔ درېواړه تېرېدو وروسته هم د فرعي شبکې شبکه یي ACL کولای شي پکېټ وغورځوي، نو هغه د وروستي فکر نه بلکې د څلورمې مادې په توګه وګورئ۔

VPC کې د یوې EC2 نمونې ته د کار کوونکې لارې له دې هېڅ یو هم نه ثابتېږي۔ دا یوازې ښیي چې تونل پورته دی، چې ستاسو له مخکې معلومې لارې یوه برخه ده۔ د پای ټکي پته بېله ثابته کړئ، بیا ثابته کړئ چې نوم هغې ته حل کېږي۔

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

لومړی امر ښیي چې کلاینټ کوم انټرفیس کاروي۔ دوهم د TCP لاس ورکول ثابتوي۔ درېیم ثابتوي چې TLS د پای ټکي نوم لپاره د اعتبار وړ سند سره بشپړېږي، او د اجازو د ګناه کولو دمخه غلطه پته نیول همدا څیړنه ده۔

ټاکئ چې اپلیکیشن کوم DNS ځواب ترلاسه کوي

په VPC کې د انټرفیس پای ټکي شتون په خپله سیمه ایز SDK بېل مسیر نه کوي۔ کلاینټ یا هغه نوم کاروي چې AWS د هغې پای ټکي لپاره خپروي، یا هغه شخصي کوربه شوې زون چې تاسو په قصد له دفتر څخه د حل وړ ګرځولی دی۔

د هایبرډ حل لپاره سیمه ایز حل کوونکي ته د VPC د DNS لید ته د ملاتړ شوې لارې اړتیا ده، معمولاً د Resolver د ننوتونکي پای ټکي له لارې۔ شخصي DNS فعالول پرته له دې چې پوه شئ کومې پوښتنې سرچینې اغېزمنوي، هغه لار ده چې پلټنه پیلوي هغه پته بېرته ورکړي چې دفتر ورته نه رسېږي۔ ترتیب د هغو پوښتنو ځوابونه بدلوي چې د VPC حل کوونکي له لارې راځي، نه د هر کلاینټ هر چېرې۔

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

دواړه د اپلیکیشن په کوربه کې وچلوئ، نه د VPC دننه په ټوپ جعبه کې۔ هلته ځواب ورکوونکی حل کوونکی هغه دی چې ستاسو کاري بار یې کاروي، او له بل کوربه څخه بېل ځواب په دې ډیزاین کې تر ټولو عامې ګډوډۍ سرچینه ده۔

رسېدل اجازه نه ده

پای ټکي ته رسېدونکې غوښتنه لا هم مجاز اصلي او د تطبیق وړ بالټ اجازې ته اړتیا لري۔ د پای ټکي پالیسي کولای شي هغه څه تنګ کړي چې پای ټکی یې اجازه ورکوي، او د بالټ پالیسي کولای شي بیا یې تنګ کړي۔ انټرفیس ته رسېدل د دې په اړه هېڅ نه وایي چې غږوونکی کوم شیان لولای شي۔

دواړه لوري وازموئ: یو بې ضرره مجاز تلیفون د نیت شوي بالټ په وړاندې، او یو تلیفون چې د پالیسي بهر هویت یا سرچینې لپاره د رد کېدو تمه یې کېږي۔ د پای ټکي نوم، حل شوې پته او د پالیسي شرایط د پایلې سره یوځای وساتئ ترڅو بل کس یې بیا جوړولای شي۔ هغه رد چې د پالیسي ډول نوموي یو ساعت اټکل خوندي کوي۔

په پای کې، د برابرولو دمخه د دواړو انتخابونو بیه وګورئ۔ د انټرفیس پای ټکی د انټرفیس ساعت او ګیګابایټ له مخې بل کېږي، خو د ګیټوی پای ټکی نه، او همدا توپیر د ډیرو کم حجم کاري بارونو لپاره پوښتنه حل کوي چې یوازې د VPC خوا ته لاسرسی ته اړتیا لري۔