S3: gateway- eller gränssnittsslutpunkt för åtkomst från det lokala nätverket

Två typer av S3-slutpunkter ser utbytbara ut i en designgranskning och beter sig helt olika så snart klienten befinner sig utanför anläggningen. En gateway-slutpunkt är en integration i routningstabellen inne i en VPC, så en förfrågan från en anläggnings-VPN når aldrig fram till den som en privat destination. En gränssnittsslutpunkt placerar privata adresser på nätverksgränssnitt, och det kan en hybrid väg faktiskt nå. Allt som följer beror på vilken av de två du valde.

Besluta utifrån nätverksingången, inte utifrån tjänstenamnet

Börja där trafiken uppstår, för det är frågan som slutpunktstypen besvarar. En arbetsbelastning i en stödd VPC-kontext kan använda en gateway-slutpunkt och behöver aldrig en egen privat adress. En arbetsbelastning på anläggningen behöver en privat adress som den kan routa till, och det är precis vad en gränssnittsslutpunkt ger. Om en design blandar båda kan båda slutpunktstyperna finnas sida vid sida i en VPC, och det är en normal ordning och inte en dubblering.

Att blanda dem är inte problemet. Att anta att den ena typen täcker den andra är det.

Klassificera klienten innan du väljer något. En arbetsyta inne i VPC:n, en container bakom en NAT-gateway och en applikation på ett filialkontor är tre olika källor, och bara den sista tvingar den hybrida ingången. Skriv den klassificeringen bredvid slutpunktsinventariet så att nästa granskare ser varför varje slutpunkt finns.

Vad gränssnittsvägen kräver från början till slut

En gränssnittsslutpunkt ger nåbarhet till privata adresser, och nåbarhet är bara ett av fyra krav. Det lokala nätverket behöver en rutt till dessa adresser, VPC-sidan behöver en returväg, slutpunktens säkerhetsgrupp måste tillåta källområdet, och varje inspektionsenhet däremellan måste tillåta flödet. En rutt till någon instans i VPC:n bevisar ingen av de fyra.

Arbeta från den bortre änden och bakåt. Bekräfta att slutpunktens nätverksgränssnitt finns i de subnät du förväntar dig, bekräfta sedan att dess säkerhetsgrupp tillåter det verkliga lokala området och inte en platshållare. Kontrollera därefter om tunneln eller kretsen bär returvägen i samma riktning. Inspektion är steget folk hoppar över, eftersom en mellanliggande enhet som tillåter anslutningen fortfarande kan kasta en större svarskropp, och det ser ut som ett genomströmningsproblem i stället för ett policyproblem.

Testa med den minsta tillåtna åtgärden som finns tillgänglig i stället för en stor nedladdning. Felet visar sig tidigare och med mindre trafik att redogöra för.

DNS följer frågans källa, inte VPC:n

En slutpunkt som finns omdirigerar ingenting av sig själv. Applikationen tar emot namnet som dess resolver returnerade, och resolvern svarar enligt den vy den har tillåtelse att se. En instans inne i VPC:n och en bärbar dator på kontoret ställer två olika frågor och båda kan få korrekta men olika svar. Att verifiera den ena och dra slutsatser om den andra är hur ett godkänt test blir en misslyckad utrullning.

Läs slutpunktens privata DNS-inställning som en del av designen, inte som en kryssruta som slås på efter lansering.

Om kontorets resolver måste se VPC:ns vy måste den vägen byggas med avsikt, vanligtvis via en inkommande resolver-slutpunkt. Fråga från applikationens egen kontext och notera vilken resolver som svarade. Ett resultat som samlats in på en bastionvärd inne i VPC:n beskriver bastionens vy och ingenting annat.

Behörighet är skild från nåbarhet

En nåbar slutpunkt returnerar fel för förfrågningar som principalen inte har behörighet att göra, och det felet betyder att systemet fungerar som designat. Identitetspolicy, bucketpolicy och eventuell slutpunktspolicy utvärderas i sina egna lager. Nätverksåtkomst har aldrig gett en behörighet.

Acceptera designen på två resultat: ett ofarligt auktoriserat anrop som lyckas, och en förväntad avvisning för en utesluten identitet eller bucket.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Notera slutpunktens namn, den uppslagna destinationen och policykontexten bredvid varje resultat, eftersom en senare DNS-ändring kan ogiltigförklara hela slutsatsen. Jämför nuvarande kostnad och operativ vikt för båda slutpunktstyperna innan du etablerar något. En gränssnittsslutpunkt köper en hybrid privat ingång, det är inte ett universellt krav, och gatewayvägen är ofta det bättre svaret för arbetsbelastningar inne i VPC:n. Valet är per klient och det kan alltid tas upp igen.