S3: koncový bod brány alebo rozhrania pre prístup z lokálnej siete

Dva typy koncových bodov S3 vyzerajú pri kontrole návrhu zameniteľné a správajú sa úplne odlišne, len čo sa klient ocitne mimo lokality. Koncový bod brány je integrácia do smerovacej tabuľky v rámci VPC, takže požiadavka z VPN lokality k nemu nikdy nepríde ako k súkromnému cieľu. Koncový bod rozhrania umiestňuje súkromné adresy na sieťové rozhrania, a k tomu sa hybridná cesta skutočne dostane. Všetko, čo nasleduje, závisí od toho, ktorý z tých dvoch ste vybrali.

Rozhodujte podľa sieťového vstupu, nie podľa názvu služby

Začnite tam, kde prevádzka vzniká, pretože na túto otázku odpovedá typ koncového bodu. Úloha v podporovanom kontexte VPC môže použiť koncový bod brány a nikdy nepotrebuje vlastnú súkromnú adresu. Úloha v lokalite potrebuje súkromnú adresu, na ktorú môže smerovať, a to poskytuje koncový bod rozhrania. Ak návrh mieša oboje, oba typy koncových bodov môžu v jednej VPC koexistovať, a to je normálne usporiadanie, nie duplikácia.

Miešať ich nie je problém. Problém je predpokladať, že jeden typ pokrýva druhý.

Predtým, než čokoľvek vyberiete, klasifikujte klienta. Pracovný priestor vo vnútri VPC, kontajner za bránou NAT a aplikácia v pobočke sú tri rôzne zdroje a iba posledný vynucuje hybridný vstup. Zapíšte túto klasifikáciu vedľa inventára koncových bodov, aby ďalší recenzent videl, prečo každý koncový bod existuje.

Čo si cesta rozhrania vyžaduje od začiatku do konca

Koncový bod rozhrania poskytuje dosiahnuteľnosť súkromných adries, a dosiahnuteľnosť je len jedna zo štyroch požiadaviek. Lokálna sieť potrebuje trasu k týmto adresám, strana VPC potrebuje spätnú cestu, bezpečnostná skupina koncového bodu musí prepustiť rozsah zdroja a akékoľvek kontrolné zariadenie medzi nimi musí povoliť tok. Trasa k akejkoľvek inštancii vo VPC nepreukazuje ani jednu zo štyroch.

Pracujte od vzdialeného konca späť. Overte, že sieťové rozhrania koncového bodu existujú v očakávaných podsieťach, potom overte, že jeho bezpečnostná skupina prepúšťa skutočný lokálny rozsah, nie zástupný symbol. Následne skontrolujte, či tunel alebo okruh nesie spätnú cestu v tom istom smere. Kontrola je krok, ktorý ľudia preskakujú, pretože medziľahlé zariadenie, ktoré spojenie povoľuje, môže stále zahodiť väčšie telo odpovede, a to vyzerá ako problém priepustnosti, nie politiky.

Testujte najmenšou dostupnou povolenou operáciou, nie veľkým stiahnutím. Zlyhanie sa objaví skôr a s menšou prevádzkou, ktorú treba vysvetliť.

DNS nasleduje zdroj dopytu, nie VPC

Existujúci koncový bod sám nič nepresmerúva. Aplikácia dostane názov, ktorý vrátil jej resolver, a resolver odpovedá podľa pohľadu, ktorý mu je povolené vidieť. Inštancia vo vnútri VPC a notebook v kancelárii kladú dve rôzne otázky a obe môžu dostať správne, ale odlišné odpovede. Overiť jednu a usúdiť o druhej je cesta od prejdenej skúšky k neúspešnému nasadeniu.

Čítajte súkromné nastavenie DNS koncového bodu ako súčasť návrhu, nie ako zaškrtávacie políčko, ktoré sa zapne po spustení.

Ak má kancelársky resolver vidieť pohľad VPC, táto cesta musí byť postavená zámerne, zvyčajne cez prichádzajúci koncový bod resolvera. Dopytujte z vlastného kontextu aplikácie a poznamenajte, ktorý resolver odpovedal. Výsledok získaný na bastione vo VPC opisuje pohľad bastionu a nič iné.

Povolenie je oddelené od dosiahnuteľnosti

Dosiahnuteľný koncový bod vracia chyby pre požiadavky, ktoré subjekt nesmie vykonať, a táto chyba znamená, že systém funguje podľa návrhu. Zásada identity, zásada bucketu a akákoľvek zásada koncového bodu sa vyhodnocujú vo svojich vlastných vrstvách. Sieťový prístup nikdy neudelil povolenie.

Prijmite návrh na základe dvoch výsledkov: neškodlivé autorizované volanie, ktoré uspeje, a očakávané odmietnutie pre vylúčenú identitu alebo bucket.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Zapíšte názov koncového bodu, preložený cieľ a kontext zásad vedľa každého výsledku, pretože jedna neskoršia zmena DNS môže zneplatniť celý záver. Pred zriadením čohokoľvek porovnajte súčasné náklady a prevádzkovú záťaž oboch typov koncových bodov. Koncový bod rozhrania kupuje hybridný súkromný vstup, nie je univerzálnou požiadavkou a cesta cez bránu často zostáva lepšou odpoveďou pre úlohy vo VPC. Voľba je pre každého klienta a zostáva preskúmateľná.