Gateway S3 apo pikë fundore ndërfaqeje për një klient në ambient?

Të arrish S3 nga një rrjet zyre përmes një VPN site-i nuk është problem rrugëtimi që një rrugë statike mund ta zgjidhë vetëm. Një pikë fundore gateway-i lidhet me tabelat e rrugëtimit dhe shërben kërkesat që lindin brenda VPC. Një pikë fundore ndërfaqeje vendos ndërfaqe rrjeti elastike me adresa private në nënrrjetet e tua, dhe ato adresa arrihen nga ambienti përmes VPN ose Direct Connect. Ku fillon kërkesa vendos se cila nga të dyja të duhet vërtet, dhe puna me DNS, grupin e sigurisë dhe politikën rrjedh nga ai përgjigje.

Ndaji llojet e pikave fundore sipas vendit ku fillon kërkesa

Një pikë fundore gateway-i shfaqet si një zë në tabelën e rrugëtimit që tregon një listë prefiksesh të menaxhuar. Nuk ka ndërfaqe rrjeti, grup sigurie dhe as adresë private të vetën, dhe pikërisht për këtë një host në ambient nuk mund të rrugëtojë drejt saj: në anën tjetër nuk ka asgjë ku të rrugëtohet. Trafiku nga brenda VPC arrin S3 sepse tabela e rrugëtimit e nënrrjetit e dërgon atë prefiks te pika fundore. Trafiku nga çdo vend tjetër nuk ka një zë të tillë për të ndjekur.

Një pikë fundore ndërfaqeje është një grup ndërfaqesh rrjeti në nënrrjetet që zgjedh, secila me një adresë private nga ai nënrrjet dhe një grup sigurie të lidhur. Kjo është forma që një klient hibrid mund të përdorë, sepse është një destinacion i zakonshëm ku tuneli yt mund të mbajë paketa. Kjo do të thotë gjithashtu se pika fundore konsumon adresa në nënrrjet dhe mund t’i shterojë ato.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

Lexo kolonën Type dhe jo emrin. Një VPC e vetme zakonisht mban të dyja llojet për të njëjtin shërbim, dhe zëri që i duhet aplikacionit tënd në ambient është ai i ndërfaqes.

Ndërto rrugën drejt adresës së ndërfaqes përpara se të testosh S3

Tre gjëra duhet të jenë të vërteta njëkohësisht: ruteri në ambient ka një rrugë drejt nënrrjetit të pikës fundore, rruga e kthimit nga ai nënrrjet arrin rrjetin e klientit, dhe grupi i sigurisë i pikës fundore pranon intervalin burimor të klientit. ACL i rrjetit të nënrrjetit mund ta hedhë paketën edhe pasi të treja plotësohen, prandaj kontrolloje si elementin e katërt dhe jo si mendim të vonuar.

Një rrugë që funksionon drejt ndonjë instance EC2 në VPC nuk provon asgjë nga këto. Tregon vetëm se tuneli është lart, që është pjesa e vetme e rrugës që e dije tashmë. Provo adresën e pikës fundore veçmas, pastaj provo se emri zgjidhet në atë adresë.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

Komanda e parë tregon cila ndërfaqe do të përdorte klienti. E dyta provon një shtrëngim duarsh TCP. E treta provon se TLS përfundon me një certifikatë të vlefshme për emrin e pikës fundore, dhe ky është kontrolli që kap një adresë të gabuar përpara se të fajësosh lejet.

Vendos cilin përgjigje DNS merr aplikacioni

Ekzistenca e një pike fundore ndërfaqeje në VPC nuk e ridrejton një SDK në ambient vetë. Klienti ose përdor emrin specifik të pikës fundore që AWS publikon për atë pikë, ose një zonë private të strehuar që e ke bërë qëllimisht të zgjidhshme nga zyra.

Për zgjidhjen hibride, zgjidhësi në ambient ka nevojë për një rrugë të mbështetur në pamjen DNS të VPC, zakonisht përmes një pike fundore hyrëse Resolver. Aktivizimi i DNS privat pa kuptuar se cilat burime kërkesash prek është mënyra se si një kërkim fillon të kthejë një adresë që zyra nuk arrin dot. Cilësimi ndryshon përgjigjet për kërkesat që vijnë përmes zgjidhësit të VPC, jo për çdo klient kudo.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

Drejtoji të dyja në hostin e aplikacionit, jo në një kuti kërcimi brenda VPC. Zgjidhësi që përgjigjet atje është ai që përdor ngarkesa e punës, dhe një përgjigje e ndryshme nga një host tjetër është burimi më i zakonshëm i konfuzionit në këtë dizajn.

Arritshmëria nuk është autorizim

Një kërkesë që arrin pikën fundore ende ka nevojë për një principal të autorizuar dhe një leje kovë të zbatueshme. Një politikë e pikës fundore mund të ngushtojë atë që lejon pika, dhe një politikë kovë mund ta ngushtojë edhe më shumë. Të arrish ndërfaqen nuk thotë asgjë për cilat objekte mund të lexojë thirrësi.

Testo të dy drejtimet: një thirrje e autorizuar e padëmshme ndaj kovës së synuar, dhe një thirrje që pritet të refuzohet për një identitet ose burim jashtë politikës. Ruaj emrin e pikës fundore, adresën e zgjidhur dhe kontekstin e politikës bashkë me rezultatin, që personi tjetër ta riprodhojë. Një refuzim që emërton llojin e politikës kursen një orë hamendjeje.

Së fundi, vlerëso koston e dy opsioneve përpara se të provizionosh. Një pikë fundore ndërfaqeje faturohet për orë ndërfaqeje dhe për gigabajt, ndërsa një pikë fundore gateway nuk faturohet kështu, dhe ky ndryshim e vendos pyetjen për shumë ngarkesa me vëllim të ulët që kanë nevojë vetëm për akses nga ana e VPC.