S3: pikë fundore e portës ose e ndërfaqes për akses nga rrjeti lokal

Dy lloje pikash fundore S3 duken të këmbyeshme në një rishikim projekti dhe sillen krejt ndryshe sapo klienti ndodhet jashtë lokalitetit. Pika fundore e portës është integrim me tabelën e rrugëzimit brenda një VPC, prandaj një kërkesë nga VPN e lokalitetit nuk arrin kurrë tek ajo si destinacion privat. Pika fundore e ndërfaqes vendos adresa private mbi ndërfaqet e rrjetit, të cilat një rrugë hibride mund t'i arrijë vërtet. Gjithçka që vijon varet nga cila prej të dyjave zgjodhët.

Vendosni sipas hyrjes së rrjetit, jo sipas emrit të shërbimit

Filloni nga vendi ku lind trafiku, sepse kjo është pyetja të cilës i përgjigjet lloji i pikës fundore. Një ngarkesë pune në një kontekst VPC të mbështetur mund të përdorë një pikë fundore porte dhe nuk ka kurrë nevojë për adresë private të vetën. Një ngarkesë pune në lokalitet ka nevojë për një adresë private ku mund të rrugëzojë, dhe këtë e siguron pika fundore e ndërfaqes. Nëse një projekt i përzien të dyja, të dy llojet e pikave fundore mund të bashkëjetojnë në një VPC, dhe ky është një rregullim normal dhe jo dyfishim.

Përzierja e tyre nuk është problemi. Problemi është supozimi se një lloj mbulon tjetrin.

Klasifikoni klientin përpara se të zgjidhni çdo gjë. Një hapësirë pune brenda VPC-së, një kontejner pas një porte NAT dhe një aplikacion në një zyrë dege janë tre burime të ndryshme, dhe vetëm i fundit imponon hyrjen hibride. Shkruani atë klasifikim pranë inventarit të pikave fundore, që rishikuesi i ardhshëm të shohë pse ekziston çdo pikë fundore.

Çfarë kërkon rruga e ndërfaqes nga fillimi në fund

Pika fundore e ndërfaqes jep arritshmëri për adresat private, dhe arritshmëria është vetëm një nga katër kërkesat. Rrjeti lokal ka nevojë për një rrugë drejt atyre adresave, ana e VPC-së ka nevojë për një rrugë kthimi, grupi i sigurisë i pikës fundore duhet të pranojë diapazonin e burimit, dhe çdo pajisje inspektimi ndërmjet tyre duhet të lejojë rrjedhën. Një rrugë drejt çdo instance në VPC nuk provon asnjë nga të katërtat.

Punoni nga skaji i largët mbrapsht. Konfirmoni që ndërfaqet e rrjetit të pikës fundore ekzistojnë në nënrrjetet që prisni, pastaj konfirmoni që grupi i saj i sigurisë pranon diapazonin real lokal dhe jo një vendmbajtës. Më pas kontrolloni nëse tuneli ose linja mbart rrugën e kthimit në të njëjtin drejtim. Inspektimi është hapi që njerëzit e kapërcejnë, sepse një pajisje e ndërmjetme që lejon lidhjen mund të hedhë ende një trup përgjigjeje më të madh, dhe kjo duket si problem i qarkullimit dhe jo i politikës.

Testoni me operacionin më të vogël të autorizuar në dispozicion, jo me një shkarkim të madh. Dështimi shfaqet më shpejt dhe me më pak trafik për të shpjeguar.

DNS ndjek burimin e kërkesës, jo VPC-në

Një pikë fundore që ekziston nuk ridrejton asgjë vetvetiu. Aplikacioni merr emrin që zgjidhësi i tij ktheu, dhe zgjidhësi përgjigjet sipas pamjes që i lejohet të shohë. Një instancë brenda VPC-së dhe një laptop në zyrë bëjnë dy pyetje të ndryshme dhe të dyja mund të marrin përgjigje të sakta, por të ndryshme. Verifikimi i njërës dhe përfundimi për tjetrën është rruga se si një test i kaluar bëhet një vendosje e dështuar.

Lexoni cilësimin privat të DNS-së së pikës fundore si pjesë të projektit, jo si një kuti për t'u aktivizuar pas nisjes.

Nëse zgjidhësi i zyrës duhet të shohë pamjen e VPC-së, ajo rrugë duhet ndërtuar me qëllim, zakonisht përmes një pike fundore zgjidhëse hyrëse. Pyetni nga konteksti i vetë aplikacionit dhe vini re cili zgjidhës u përgjigj. Një rezultat i mbledhur në një host bastioni brenda VPC-së përshkruan pamjen e bastionit dhe asgjë tjetër.

Leja është e ndarë nga arritshmëria

Një pikë fundore e arritshme kthen gabime për kërkesat që principalit nuk i lejohet t'i bëjë, dhe ai gabim do të thotë se sistemi funksionon siç është projektuar. Politika e identitetit, politika e kovës dhe çdo politikë e pikës fundore vlerësohen në shtresat e tyre. Aksesi në rrjet nuk ka dhënë kurrë leje.

Pranoni projektin mbi dy rezultate: një thirrje e autorizuar e padëmshme që ka sukses, dhe një refuzim i pritur për një identitet ose kovë të përjashtuar.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Regjistroni emrin e pikës fundore, destinacionin e zgjidhur dhe kontekstin e politikës pranë çdo rezultati, sepse një ndryshim i mëvonshëm i DNS-së mund të çvalidisë të gjithë përfundimin. Krahasoni koston aktuale dhe peshën operacionale të të dy llojeve të pikave fundore përpara se të siguroni çdo gjë. Pika fundore e ndërfaqes blen një hyrje private hibride, nuk është kërkesë universale, dhe rruga e portës shpesh mbetet përgjigja më e mirë për ngarkesat e punës brenda VPC-së. Zgjedhja është për çdo klient dhe mbetet e rishikueshme.