S3: končna točka prehoda ali vmesnika za dostop iz lokalnega omrežja

Dve vrsti končnih točk S3 se na pregledu zasnove zdita zamenljivi in se obnašata popolnoma drugače, ko je odjemalec zunaj lokacije. Končna točka prehoda je integracija s tabelo usmerjanja znotraj VPC, zato zahteva z VPN lokacije nikoli ne prispe tja kot zasebni cilj. Končna točka vmesnika postavi zasebne naslove na omrežne vmesnike, do katerih lahko hibridna pot res pride. Vse, kar sledi, je odvisno od tega, katero od obeh ste izbrali.

Odločite se po omrežnem vstopu, ne po imenu storitve

Začnite tam, kjer promet nastane, ker je to vprašanje, na katero odgovarja vrsta končne točke. Delovna obremenitev v podprtem kontekstu VPC lahko uporabi končno točko prehoda in nikoli ne potrebuje lastnega zasebnega naslova. Delovna obremenitev na lokaciji potrebuje zasebni naslov, na katerega lahko usmerja, in to zagotavlja končna točka vmesnika. Če zasnova meša oboje, lahko obe vrsti končnih točk soobstajata v enem VPC, in to je običajna ureditev, ne podvajanje.

Njuno mešanje ni problem. Problem je domneva, da ena vrsta pokriva drugo.

Razvrstite odjemalca, preden karkoli izberete. Delovni prostor znotraj VPC, vsebnik za prehodom NAT in aplikacija v pisarni podružnice so trije različni viri, in le zadnji vsili hibridni vstop. Zapišite to razvrstitev ob inventarju končnih točk, da bo naslednji pregledovalec videl, zakaj vsaka končna točka obstaja.

Kaj zahteva pot vmesnika od začetka do konca

Končna točka vmesnika omogoča dosegljivost zasebnih naslovov, in dosegljivost je le ena od štirih zahtev. Lokalno omrežje potrebuje pot do teh naslovov, stran VPC potrebuje povratno pot, varnostna skupina končne točke mora prepustiti obseg vira, in katera koli nadzorna naprava med njima mora dovoliti tok. Pot do katere koli instance v VPC ne dokazuje nobene od štirih.

Delajte od oddaljenega konca nazaj. Potrdite, da omrežni vmesniki končne točke obstajajo v pričakovanih podomrežjih, nato potrdite, da njena varnostna skupina prepušča dejanski lokalni obseg in ne nadomestnega znaka. Nato preverite, ali tunel ali vod prinaša povratno pot v isti smeri. Pregled je korak, ki ga ljudje preskočijo, ker lahko vmesna naprava, ki dovoli povezavo, še vedno zavrže večje telo odgovora, in to je videti kot težava s prepustnostjo, ne s politiko.

Preizkusite z najmanjšo razpoložljivo dovoljeno operacijo, ne z velikim prenosom. Okvara se pokaže prej in z manj prometa, ki ga je treba pojasniti.

DNS sledi viru poizvedbe, ne VPC

Obstoječa končna točka sama ne preusmeri ničesar. Aplikacija prejme ime, ki ga je vrnil njen razreševalnik, razreševalnik pa odgovori glede na pogled, ki mu je dovoljeno videti. Instanca znotraj VPC in prenosnik v pisarni postavljata dve različni vprašanji in oba lahko dobita pravilna, a različna odgovora. Preveriti eno in sklepati o drugem je pot, po kateri uspešen preizkus postane neuspešna uvedba.

Preberite zasebno nastavitev DNS končne točke kot del zasnove, ne kot potrditveno polje, ki se vklopi po zagonu.

Če mora pisarniški razreševalnik videti pogled VPC, je treba to pot zgraditi namerno, običajno prek dohodne končne točke razreševalnika. Povprašajte iz lastnega konteksta aplikacije in zabeležite, kateri razreševalnik je odgovoril. Rezultat, zbran na bastionu znotraj VPC, opisuje pogled bastiona in nič drugega.

Dovoljenje je ločeno od dosegljivosti

Dosegljiva končna točka vrne napake za zahteve, ki jih glavni subjekt ne sme izvesti, in ta napaka pomeni, da sistem deluje, kot je zasnovan. Politika identitete, politika vedra in vsaka politika končne točke se ocenjujejo v svojih plasteh. Omrežni dostop nikoli ni podelil dovoljenja.

Sprejmite zasnovo na podlagi dveh rezultatov: neškodljiv dovoljen klic, ki uspe, in pričakovana zavrnitev za izključeno identiteto ali vedro.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Zabeležite ime končne točke, razrešeni cilj in kontekst politike ob vsakem rezultatu, ker lahko ena poznejša sprememba DNS razveljavi celoten sklep. Preden karkoli pripravite, primerjajte trenutne stroške in operativno težo obeh vrst končnih točk. Končna točka vmesnika kupi hibridni zasebni vstop, ni univerzalna zahteva, in pot prehoda pogosto ostaja boljši odgovor za delovne obremenitve znotraj VPC. Izbira je za vsakega odjemalca in ostaja predmet pregleda.