S3: завршна тачка пролаза или интерфејса за приступ из локалне мреже

Две врсте завршних тачака S3 изгледају заменљиво у прегледу пројекта и понашају се потпуно другачије када клијент буде ван локације. Завршна тачка пролаза је интеграција са табелом рутирања унутар VPC-а, тако да захтев из VPN-а локације никада не стиже до ње као приватно одредиште. Завршна тачка интерфејса поставља приватне адресе на мрежне интерфејсе, а до тога хибридна путања заиста може да стигне. Све што следи зависи од тога коју од две сте изабрали.

Одлучујте по мрежном улазу, а не по имену услуге

Почните од места где настаје саобраћај, јер је то питање на које тип завршне тачке одговара. Радно оптерећење у подржаном контексту VPC-а може да користи завршну тачку пролаза и никада нема потребу за сопственом приватном адресом. Радно оптерећење на локацији има потребу за приватном адресом ка којој може да рутира, а то обезбеђује завршна тачка интерфејса. Ако пројекат меша оба, оба типа завршних тачака могу да постоје у једном VPC-у, и то је нормалан распоред, а не дуплирање.

Њихово мешање није проблем. Проблем је претпоставка да један тип покрива други.

Класификујте клијента пре него што изаберете било шта. Радни простор унутар VPC-а, контејнер иза NAT пролаза и апликација у канцеларији филијале су три различита извора, и само последњи намеће хибридни улаз. Запишите ту класификацију поред списка завршних тачака да би следећи прегледач видео зашто свака завршна тачка постоји.

Шта интерфејсна путања захтева од почетка до краја

Завршна тачка интерфејса даје достижност приватним адресама, а достижност је само један од четири захтева. Локална мрежа има потребу за рутом до тих адреса, страна VPC-а има потребу за повратном путањом, безбедносна група завршне тачке мора да пропусти опсег извора, и сваки уређај за проверу између њих мора да дозволи ток. Рута до било које инстанце у VPC-у не доказује ниједан од та четири.

Радите од даљег краја уназад. Потврдите да мрежни интерфејси завршне тачке постоје у очекиваним подмрежама, затим потврдите да њена безбедносна група пропушта стварни локални опсег, а не замену. Након тога проверите да ли тунел или линија носи повратну путању у истом смеру. Провера је корак који људи прескачу, јер уређај између који дозвољава везу и даље може да одбаци веће тело одговора, и то изгледа као проблем пропусности, а не политике.

Тестирајте најмањом доступном дозвољеном операцијом, а не великим преузимањем. Отказ се појављује раније и са мање саобраћаја који треба објаснити.

DNS прати извор упита, а не VPC

Постојећа завршна тачка сама ништа не преусмерава. Апликација прима назив који је вратио њен резолвер, а резолвер одговара према погледу који му је дозвољено да види. Инстанца унутар VPC-а и преносни рачунар у канцеларији постављају два различита питања и оба могу да добију тачне, али различите одговоре. Проверити једно и закључити о другом је пут којим успешан тест постаје неуспешно распоређивање.

Читајте приватно DNS подешавање завршне тачке као део пројекта, а не као поље за означавање које се укључује после пуштања у рад.

Ако резолвер у канцеларији треба да види поглед VPC-а, та путања мора намерно да се изгради, обично преко долазне завршне тачке резолвера. Питајте из сопственог контекста апликације и забележите који резолвер је одговорио. Резултат прикупљен на бастион домаћину унутар VPC-а описује поглед бастиона и ништа друго.

Дозвола је одвојена од достижности

Достижна завршна тачка враћа грешке за захтеве које субјекат не сме да изврши, и та грешка значи да систем ради како је пројектован. Политика идентитета, политика канте и свака политика завршне тачке оцењују се у својим слојевима. Мрежни приступ никада није дао дозволу.

Прихватите пројекат на основу два резултата: безопасног дозвољеног позива који успева, и очекиваног одбијања за искључени идентитет или канту.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Забележите назив завршне тачке, решено одредиште и контекст политике поред сваког резултата, јер једна каснија DNS промена може да поништи цео закључак. Упоредите тренутни трошак и оперативно оптерећење оба типа завршних тачака пре него што било шта обезбедите. Завршна тачка интерфејса купује хибридни приватни улаз, то није универзални захтев, и путања кроз пролаз често остаје бољи одговор за радна оптерећења унутар VPC-а. Избор је за сваког клијента и остаје подложан прегледу.