S3 gateway ama interface endpoint loogu talagalay macmiilka gudaha?

S3 ka gaadhista shabakadda xafiiska iyada oo loo marayo VPN site maaha mushkilad dariiqa oo dariiqa static keligiis xallin karo. Endpoint gateway waxay ku xiran tahay shaxda dariiqyada waxayna u adeegtaa codsiyada ka soo baxa gudaha VPC. Endpoint interface waxay subnet-yadaada ku dhex dhigtaa interface-shabakadeed elastik oo leh cinwaanno gaar ah, cinwaannadaasna waxaa laga gaadhi karaa gudaha iyada oo loo marayo VPN ama Direct Connect. Halka codsigu ka bilaabmo ayaa go’aaminaya kee ka mid ah labada aad runtii u baahan tahay, shaqada DNS, kooxda amniga iyo siyaasaduna waxay ka timid jawaabtaas.

Kala sooc noocyada endpoint-ka iyadoo lagu saleynayo halka codsigu ka bilaabmo

Endpoint gateway wuxuu u muuqdaa sida gelitaan shaxda dariiqa oo tilmaamaya liis prefix oo la maareeyo. Ma laha interface shabakadeed, koox ammaan ama cinwaan gaar ah oo u gaar ah, taas darteedna martigeliyaha gudaha kama dariiqi karo: dhinaca kale ma jiro wax laga dariiqi karo. Taraafikada ka imanaya gudaha VPC waxay gaadhaa S3 sababtoo ah shaxda dariiqa subnet waxay prefix-kaas u dirtaa endpoint-ka. Taraafikada ka imanaya meel kasta oo kale ma laha gelitaan sidan oo kale ah oo la raaco.

Endpoint interface waa koox interface-shabakadeed oo ku yaal subnet-yada aad dooratay, mid kastaa wuxuu leeyahay cinwaan gaar ah oo ka yimid subnet-kaas iyo koox ammaan oo ku lifaaqan. Tani waa qaabka macmiil isku dhafan u isticmaali karo, sababtoo ah waa meel caadi ah oo tunnel-kaagu baakadaha u qaadi karo. Waxay kaloo macnaheedu tahay in endpoint-ku u isticmaalo cinwaanno subnet-ka dhexdiisa oo ay dhammaan karaan.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

Akhri tiirka Type halkii aad ka akhrin lahayd magaca. Hal VPC badanaa waxay haysataa labada nooc ee isla adeegga, gelitaanka ay codsigaaga gudaha u baahan yahayna waa tan interface-ka.

Dhis dariiqa loo marayo cinwaanka interface-ka ka hor inta aadan tijaabin S3

Saddex arrimood waa inay isku mar run noqdaan: router-ka guduhu wuxuu leeyahay dariiq u tagta subnet-ka endpoint-ka, dariiqa dib u soo noqoshada subnet-kaas wuxuu gaadhaa shabakadda macmiilka, kooxda amniga endpoint-kuna waxay ogolaataa xadka isha macmiilka. Saddexda oo dhan ka dib, ACL shabakadda subnet-ka weli wuu tuuri karaa baakadda, sidaas darteed u hubi sida shayga afaraad ee ma aha fikrad dambe.

Dariiq u shaqeeya qaar ka mid ah EC2 instance gudaha VPC ma caddeeyo wax ka mid ah tan. Waxay kaliya muujinaysaa in tunnel-ku kor yahay, taas oo ah qaybta kaliya ee dariiqa aad hore uga ogeyd. Caddee cinwaanka endpoint-ka si gooni ah, ka dibna caddee in magacu u xalliyo isaga.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

Amarka koowaad wuxuu muujinayaa interface-ka macmiilku isticmaali lahaa. Kan labaad wuxuu caddeeyaa isgacan-qaadka TCP. Kan saddexaad wuxuu caddeeyaa in TLS ku dhammaado shahaado ansax ah oo loogu talagalay magaca endpoint-ka, waana hubinta qabata cinwaanka khaldan ka hor inta aadan eedayn ogolaanshaha.

Go’aami jawaabta DNS ee codsigaagu helo

Jiritaanka endpoint interface gudaha VPC si keligeed uma leexdo SDK gudaha. Macmiilku wuxuu isticmaalaa magaca endpoint-ka gaar ah ee AWS u soo saarto endpoint-kaas, ama aag martigeliyay gaar ah oo aad si ula kac ah uga dhigtay mid laga xallin karo xafiiska.

Xallinta isku dhafan, xalliyaha guduhu wuxuu u baahan yahay dariiq la taageeray oo galay muuqaalka DNS ee VPC, badanaa iyada oo loo marayo endpoint Resolver soo galaya. Daaridda DNS gaar ah iyada oo aan la fahmin meesha codsiyada ay saameynayso waa dariiqa ay raadintu ku bilaabato inay soo celiso cinwaan uusan xafiisku gaadhi karin. Dejintu waxay beddeshaa jawaabaha codsiyada ka yimaada xalliyaha VPC, ma aha mid kasta oo macmiil kasta meel kasta.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

Ku socodsii labadaba martigeliyaha codsiga, ma aha sanduuqa boodboodka gudaha VPC. Xalliyaha halkaas ka jawaaba waa kan shaqadaadu isticmaasho, jawaab ka duwan oo ka timaadda martigeliye kale waa isha ugu caansan ee jahwareerka naqshaddan.

Gaadhitaanku ma aha fasax

Codsi gaadha endpoint-ka weli wuxuu u baahan yahay maamule loo fasaxay iyo ogolaansho baaldi oo khuseeya. Siyaasadda endpoint-ku waxay yareyn kartaa waxa endpoint-ku ogolaado, siyaasadda baaldiguna waxay intaa ka sii yareyn kartaa. Gaadhitaanka interface-ka waxba kama sheegto waxyaabaha uu wacitaanku akhriyi karo.

Tijaabi labada jiho: hal wicid la fasaxay oo aan waxyeello lahayn oo ka gees ah baaldiga loogu talagalay, iyo hal wicid la filayo in la diido aqoonsi ama kheyraad ka baxsan siyaasadda. Kaydi magaca endpoint-ka, cinwaanka la xalliyay iyo macnaha siyaasadda oo ay la socdaan natiijada si qofka xiga uu u soo saari karo. Diidmo sheegta nooca siyaasadda waxay badbaadisaa saacad qiyaas ah.

Ugu dambayntii, qiimee qiimaha labada ikhtiyaar ka hor inta aadan diyaarin. Endpoint interface waxaa lagu xisaabiyaa saac interface iyo gigabyte, halka endpoint gateway aan sidaas ahayn, farqigaasna wuxuu go’aamiyaa su’aasha shaqooyin badan oo mug yar leh oo kaliya u baahan gelitaanka dhinaca VPC.