EC2 සිට පෞද්ගලික RDS: එකම VPC, peering හෝ වෙනත් දෙයක්ද?

සංවර්ධකයාගේ ලැප්ටොප් පරිගණකය කාර්ය මණ්ඩල VPN හරහා පෞද්ගලික RDS අවස්ථාවට ළඟා වේ, නමුත් EC2 හි යෙදුමට කිසිසේත් සම්බන්ධ විය නොහැක. මෙය කැඩුණු යෙදවීමක් නොවේ. ලැප්ටොප් පරිගණකයට EC2 අවස්ථාව කිසිදා උරුම නොවන උමං මාර්ගයක් ඇත, සහ RDS හි «පෞද්ගලික» යන්නෙන් අදහස් වන්නේ දත්ත සමුදායට පොදු අන්ත ලක්ෂ්‍යයක් නොමැති බවයි, මිනිස් VPN පරිශීලකයින් පමණක් අවසර ලත් ඇමතුම්කරුවන් යන්න නොවේ. යෙදුමට තමන්ගේම අනුමත මාර්ගයක්, ආරක්ෂක කණ්ඩායම සමඟ තමන්ගේම සම්බන්ධතාවයක් සහ දත්ත සමුදායේ තමන්ගේම අනන්‍යතාවයක් අවශ්‍ය වේ, සහ මෙම තුන තෝරා ගන්නා අනුපිළිවෙල දෝෂ නිරාකරණයෙන් වැඩි කොටසක් ඉතිරි කරයි. පළමුව මාර්ගය තීරණය කරන්න, පසුව අවසර, පසුව ඔබේ මේසයේ සිට නොව යෙදවූ පරිසරයෙන් සත්‍යාපනය කරන්න.

ලැප්ටොප් VPN යෙදුමේ මාර්ගය නොවේ

කාර්ය මණ්ඩල VPN මිනිසුන් සඳහා කුමක් කළත්, එම අවස්ථාව එකම ජාල මාර්ගයේ පැහැදිලි කොටසක් නොවේ නම්, එය අවස්ථාවක් සඳහා කිසිවක් නොකරයි. පෞද්ගලික උපජාලයක EC2 අවස්ථාව VPC භාවිත කිරීම, ආරක්ෂක කණ්ඩායම් සහ ජාල ACL හරහා RDS වෙත ළඟා වේ. එය මිනිස් උමං මාර්ගයක්, මිනිස් සැසියක් හෝ මිනිස් අක්තපත්‍ර උරුම නොවේ, සහ නොවිය යුතුය: අධීක්ෂණයකින් තොර යෙදුම් සම්බන්ධතාවය සහ කාර්ය මණ්ඩලයේ දුරස්ථ ප්‍රවේශය ස්වාධීනව ක්‍රියාත්මක විය යුතුය.

මෙම ස්වාධීනත්වය ලක්ෂණයකි. VPN අක්‍රීය වූ විට යෙදුම ක්‍රියා කරමින් පවතී. යෙදුම වැරදි ලෙස හැසිරෙන විට කිසිවෙකුට තම දුරස්ථ ප්‍රවේශය අහිමි නොවේ. දෙකම එකම මාර්ගයකට ඒකාබද්ධ කරන නිර්මාණ සාමාන්‍යයෙන් සිද්ධියක් අතරතුර, වඩාත් නරකම මොහොතේ අනාවරණය වේ.

තීරණය 1: එකම VPC, සෘජු මාර්ගය

යෙදුම සහ දත්ත සමුදාය එකම VPC හි සෘජු භාවිතය සමඟ සහ ඒවා අතර පරීක්ෂණ මධ්‍යස්ථ උපාංගයක් නොමැති විට, මාර්ගය සරල වන අතර ආරක්ෂක කණ්ඩායම් යොමුව ලබා ගත හැකි බලවත්ම මෙවලම වේ. යෙදුමට තමන්ගේම කණ්ඩායමක් දෙන්න, පසුව ලිපින පරාසයකින් නොව එම කණ්ඩායමෙන් දත්ත සමුදායේ තොටුපළට අවසර දෙන්න:

aws ec2 authorize-security-group-ingress --group-id sg-0db123   --protocol tcp --port 5432 --source-group sg-0app456

aws rds describe-db-instances --db-instance-identifier prod-db   --query 'DBInstances[0].{Endpoint:Endpoint.Address,Port:Endpoint.Port,Public:PubliclyAccessible,Groups:VpcSecurityGroups}'

තොටුපළ නිදර්ශනයක් පමණක් වන අතර එන්ජිමට ගැළපිය යුතුය. කණ්ඩායම් යොමුව යෙදුමේ අවස්ථා වලින් ගමන් අවසර දෙයි; එය ඒවායේ නීති පිටපත් නොකරයි සහ දත්ත සමුදාය පිවිසුමක් නොසාදයි. වෙනත් ගැටළු දෙකක්, වෙනත් විසඳුම් දෙකක්.

පසුව ඔබ දැන් එකතු කළ නීතියේ නතර නොවී මාර්ගයේ ඉතිරි කොටස පරීක්ෂා කරන්න. යෙදුමේ පිටවන ප්‍රතිපත්තිය, දත්ත සමුදායට සම්බන්ධ කර ඇති කණ්ඩායම්වල සම්පූර්ණ කට්ටලය, උපජාලයේ මාර්ග වගු සහ ඕනෑම ජාල ACL සියල්ලම එකඟ විය යුතුය. ආරක්ෂක කණ්ඩායම් නීති තත්ත්ව සහිත වන අතර, අභිරුචි ජාල ACL ඉල්ලීම සහ ආපසු ගමන් වෙන වෙනම නීතිවලට ඉඩ දිය යුතුය, තාවකාලික තොටුපළ ඇතුළුව. නව පටු දත්ත සමුදාය නීතියක් දැනටමත් සම්බන්ධ කර ඇති පැරණි පුළුල් අවසරයක් ද අවලංගු නොකරයි.

තීරණය 2: වෙනත් VPC හෝ වෙනත් ගිණුමක්

යෙදුම වෙනත් VPC එකක තිබේ නම්, ජාල හිමිකරුවන් සහාය දක්වන පෞද්ගලික අන්තර්සම්බන්ධතාවයක් තෝරයි: peering, සංක්‍රාන්ති නිර්මාණයක් හෝ හවුල් VPC විධිවිධානයක්. එවිට භාවිතයේ දිශා දෙකම තිබිය යුතුය, නම් විසඳීම RDS අන්ත ලක්ෂ්‍යය සඳහා ක්‍රියා කළ යුතුය, සහ දත්ත සමුදාය ප්‍රතිපත්තිය ඇගයන මූලාශ්‍රය ඇත්ත වශයෙන්ම පැමිණෙන දෙයට ගැළපිය යුතුය. ගිණුම් නම් ගැළපීම හෝ හවුල් බිල්පත් සම්බන්ධතාවයක් මේ කිසිවක් ලබා නොදේ.

ආරක්ෂක කණ්ඩායම් යොමුව වෙනස් වන කොටසයි. එය පෞද්ගලික අන්තර්සම්බන්ධතා නිර්මාණ කිහිපයක ක්‍රියා කරයි, නමුත් මධ්‍යස්ථ උපාංගයක් මූලාශ්‍රය නැවත ලියන හෝ සම්බන්ධතාවය අවසන් කරන මොහොතේ ක්‍රියා කිරීම නතර කරයි, මන්ද එවිට දත්ත සමුදාය ඔබේ යෙදුම් කණ්ඩායම වෙනුවට මධ්‍යස්ථ උපාංගය දකී. RDS VPC අවස්ථා එකම VPC තුළ ප්‍රවේශය අනෙකුත් විධිවිධානවලින් වෙන් කරයි, සහ නීති ශෛලියක් මාරු වේ යැයි උපකල්පනය කිරීමට පෙර ඔබේ නිශ්චිත භූ විද්‍යාව ඒවා සමඟ පරීක්ෂා කිරීම වටී.

නැති වූ මාර්ගයක් දත්ත සමුදාය පොදුවේ ප්‍රවේශ විය හැකි කිරීමෙන් විසඳන්න එපා. එය වෙනත් හිමිකරුවෙකු සහිත වෙනත් නිරාවරණ තීරණයක් වන අතර, සාමාන්‍යයෙන් එය යෝජනා කරන්නේ ප්‍රතිවිපාකයෙන් වඩාත් දුරස්ථ පුද්ගලයාය.

තීරණය 3: දත්ත සමුදාය පිළිගන්නා අනන්‍යතාවය

ජාල ප්‍රවේශය සහ දත්ත සමුදාය සත්‍යාපනය වෙන වෙනම ස්තර වන අතර, ඒවා මිශ්‍ර කිරීම වඩාත් නොමඟ යවන දෝෂ ඇති කරයි. අවස්ථා භූමිකාව AWS API ඇමතීම සඳහා AWS අනන්‍යතාවයකි. එය දත්ත සමුදාය පරිශීලකයෙකු නොවේ. IAM දත්ත සමුදාය සත්‍යාපනය එන්ජිම සහ වින්‍යාසය අවසර දෙන තැන සහාය දක්වන විශේෂාංගයක් වන අතර, එය තවමත් දත්ත සමුදාය පරිශීලකයෙකුට සිතියම් කිරීමක් මිස ආදේශකයක් නොවේ.

යෙදුමේ වින්‍යාසයේ එක් සොයා ගැනීමකින් ගත් ලිපිනයක් වෙනුවට RDS අන්ත ලක්ෂ්‍යයේ නම භාවිතා කරන්න. Multi-AZ උපතින් පසු මාරුව එම නම පිටුපස ලිපිනය වෙනස් කරයි, සහ IP එකකට සවි කළ යෙදුමක් එය අවශ්‍ය වන හරියටම මොහොතේ අසාර්ථක වේ. දෝෂයක් අතුරුදහන් කිරීමට එන්ජිමේ TLS සත්‍යාපනය අක්‍රීය කිරීම වෙනුවට එය සක්‍රීයව තබන්න, මන්ද සත්‍යාපන අසාර්ථකත්වය ඔබ ළඟා වූ අන්ත ලක්ෂ්‍යය ගැන යමක් කියයි.

පසුව දත්ත සමුදාය ගිණුමට යෙදුමට අවශ්‍ය අවමය දෙන්න, එය ඇත්ත වශයෙන්ම භාවිතා කරන ක්‍රමය තුළ. එම කාර්යය ඉතා අලස ය, එය විගණනය කළ හැකි ය, සහ සිද්ධි සමාලෝචනය අසන්නේ එම කොටස ගැන ය.

යෙදවූ පරිසරයෙන් සත්‍යාපනය කරන්න

අවස්ථාවෙන් හෝ එකම කණ්ඩායම, උපජාලය සහ භූමිකාව සමඟ ධාවනය වන කාර්යයකින් පරීක්ෂා කරන්න. අසාර්ථකතා හතරක් ලැප්ටොප් පරිගණකයෙන් සමාන ලෙස පෙනෙන අතර එතැනින් පහසුවෙන් වෙන් කළ හැක: විසඳා නොගන්නා නමක්, කාලය ඉකුත් වන සම්බන්ධතාවයක්, TLS වලංගුතා අසාර්ථකත්වයක් සහ ප්‍රතික්ෂේප කළ දත්ත සමුදාය පිවිසුමක්. එක් එක් දෙය වෙනස් මායිමකට යොමු කරයි, සහ ඔබට ඇත්තේ කුමක්දැයි දැන ගැනීමට පෙර දත්ත සමුදායේ නිරාවරණය වෙනස් කිරීම අනුමානයකි.

psql "host=prod-db.abc123.eu-west-1.rds.amazonaws.com port=5432 dbname=app sslmode=verify-full" -c 'select 1'

අවස්ථාවෙන් සම්බන්ධතාවය සාර්ථක වී ඔබේ මේසයෙන් අසාර්ථක වුවහොත්, යෙදුමේ මාර්ගය හොඳ ය, සහ ඔබේ ප්‍රවේශය නිවැරදි කළ යුතු දෙයයි. දෙකෙන්ම අසාර්ථක වුවහොත්, අක්තපත්‍ර වෙනුවට ඉහත කණ්ඩායම් සහ මාර්ග පරීක්ෂණ වලින් ආරම්භ කරන්න. එම එක් සංසන්දනය මෙම ටිකට්පත් නිර්මාණය කරන බොහෝ කලබල වළක්වයි.