S3: krajnja točka pristupnika ili sučelja za pristup iz lokalne mreže

Dvije vrste S3 krajnjih točaka izgledaju zamjenjivo na pregledu dizajna, a ponašaju se posve različito kad klijent završi izvan lokacije. Krajnja točka pristupnika integracija je s tablicom usmjeravanja unutar VPC-a, pa zahtjev sa VPN-a lokacije nikada ne dolazi do nje kao privatno odredište. Krajnja točka sučelja postavlja privatne adrese na mrežna sučelja, a to je nešto do čega hibridni put doista može doći. Sve što slijedi ovisi o tome koju ste od tih dviju odabrali.

Odlučujte po mrežnom ulazu, ne po nazivu usluge

Krenite od mjesta na kojem promet nastaje, jer je to pitanje na koje vrsta krajnje točke odgovara. Radno opterećenje u podržanom kontekstu VPC-a može koristiti krajnju točku pristupnika i nikada ne treba vlastitu privatnu adresu. Radno opterećenje na lokaciji treba privatnu adresu prema kojoj može usmjeravati, a to pruža krajnja točka sučelja. Ako dizajn miješa oboje, obje vrste krajnjih točaka mogu supostojati u jednom VPC-u i to je normalan raspored, a ne dupliciranje.

Miješanje nije problem. Problem je pretpostavka da jedna vrsta pokriva drugu.

Klasificirajte klijenta prije nego što bilo što odaberete. Radni prostor unutar VPC-a, kontejner iza NAT pristupnika i aplikacija u podružnici tri su različita izvora i samo posljednji nameće hibridni ulaz. Upišite tu klasifikaciju uz popis krajnjih točaka kako bi sljedeći preglednik vidio zašto svaka krajnja točka postoji.

Što sučeljni put zahtijeva od početka do kraja

Krajnja točka sučelja daje dostupnost privatnih adresa, a dostupnost je samo jedan od četiri uvjeta. Lokalna mreža treba rutu prema tim adresama, strana VPC-a treba povratni put, sigurnosna grupa krajnje točke mora propuštati raspon izvora, a svaki uređaj za pregled između njih mora dopustiti tok. Ruta do neke instance u VPC-u ne dokazuje nijedan od tih četiriju uvjeta.

Radite od udaljenog kraja prema natrag. Potvrdite da mrežna sučelja krajnje točke postoje u podmrežama koje očekujete, zatim provjerite propušta li njezina sigurnosna grupa stvarni lokalni raspon, a ne rezervirano mjesto. Zatim provjerite nosi li tunel ili veza povratni put u istom smjeru. Pregled je korak koji ljudi preskaču, jer posredni uređaj koji dopušta vezu još uvijek može odbaciti veće tijelo odgovora, a to izgleda kao problem propusnosti, a ne politike.

Testirajte najmanjom dopuštenom operacijom koja je dostupna, a ne velikim preuzimanjem. Kvar se pojavljuje ranije i s manje prometa koji treba objasniti.

DNS slijedi izvor upita, a ne VPC

Krajnja točka koja postoji ne preusmjerava ništa sama po sebi. Aplikacija dobiva ime koje je vratio njezin razrješivač, a razrješivač odgovara prema pogledu koji smije vidjeti. Instanca unutar VPC-a i prijenosnik u uredu postavljaju dva različita pitanja i oba mogu dobiti točne, ali različite odgovore. Provjeriti jedno i zaključiti o drugome put je od prolaznog testa do neuspjelog uvođenja.

Čitajte privatnu DNS postavku krajnje točke kao dio dizajna, a ne kao kvačicu koju treba uključiti nakon puštanja u rad.

Ako uredski razrješivač mora vidjeti pogled VPC-a, taj put treba namjerno izgraditi, obično preko ulazne krajnje točke razrješivača. Upitajte iz vlastitog konteksta aplikacije i zabilježite koji je razrješivač odgovorio. Rezultat prikupljen na bastionu unutar VPC-a opisuje pogled bastiona i ništa drugo.

Dopuštenje je odvojeno od dostupnosti

Dostupna krajnja točka vraća pogreške za zahtjeve koje subjekt ne smije uputiti, a ta pogreška znači da sustav radi kako je predviđeno. Identitetska politika, politika bucketa i svaka politika krajnje točke ocjenjuju se u vlastitim slojevima. Mrežni pristup nikada nije dodijelio dopuštenje.

Prihvatite dizajn na temelju dva rezultata: bezopasnog ovlaštenog poziva koji uspijeva i očekivanog odbijanja za isključeni identitet ili bucket.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Zabilježite naziv krajnje točke, razriješeno odredište i kontekst politike uz svaki rezultat, jer jedna kasnija DNS promjena može poništiti cijeli zaključak. Usporedite trenutni trošak i operativnu težinu obiju vrsta krajnjih točaka prije nego što bilo što osigurate. Krajnja točka sučelja kupuje hibridni privatni ulaz, to nije univerzalni uvjet i put kroz pristupnik često ostaje bolji odgovor za radna opterećenja unutar VPC-a. Izbor je po klijentu i ostaje podložan reviziji.