S3: kituo cha mwisho cha lango au kiolesura kwa ufikiaji kutoka mtandao wa karibu

Aina mbili za vituo vya mwisho vya S3 zinaonekana kubadilishana katika mapitio ya muundo na huishi tofauti kabisa mteja anapokuwa nje ya eneo. Kituo cha mwisho cha lango ni muunganisho na jedwali la njia ndani ya VPC, kwa hiyo ombi kutoka VPN ya eneo hufika kamwe huko kama marudio ya kibinafsi. Kituo cha mwisho cha kiolesura huweka anwani za kibinafsi kwenye violesura vya mtandao, na njia mseto inaweza kufikia huko kweli. Kila kitu kinachofuata kinategemea ni kipi kati ya vyote viwili ulichochagua.

Amua kwa kizingiti cha mtandao, si kwa jina la huduma

Anza pale trafiki inapotoka, kwa sababu hilo ndilo swali ambalo aina ya kituo cha mwisho hujibu. Mzigo wa kazi katika muktadha wa VPC unaotumika unaweza kutumia kituo cha mwisho cha lango na hauhitaji kamwe anwani yake ya kibinafsi. Mzigo wa kazi wa eneo unahitaji anwani ya kibinafsi ambayo unaweza kuielekeza, na hiyo ndiyo inayotolewa na kituo cha mwisho cha kiolesura. Ikiwa muundo unachanganya vyote viwili, aina zote mbili za vituo vya mwisho zinaweza kuishi pamoja katika VPC moja, na huo ni mpangilio wa kawaida na si kurudia.

Kuchanganya vyote si tatizo. Kudhani aina moja inashughulikia nyingine ndilo tatizo.

Ainisha mteja kabla ya kuchagua kitu chochote. Nafasi ya kazi ndani ya VPC, kontena nyuma ya lango la NAT na programu katika ofisi ya tawi ni vyanzo vitatu tofauti, na ni cha mwisho tu kinacholazimisha kiingilio mseto. Andika uainishaji huo kando ya orodha ya vituo vya mwisho ili mkaguzi anayefuata aone kwa nini kila kituo cha mwisho kipo.

Kile njia ya kiolesura inahitaji kutoka mwanzo hadi mwisho

Kituo cha mwisho cha kiolesura hutoa ufikivu wa anwani za kibinafsi, na ufikivu ni moja tu ya mahitaji manne. Mtandao wa eneo unahitaji njia kuelekea anwani hizo, upande wa VPC unahitaji njia ya kurudi, kikundi cha usalama cha kituo cha mwisho lazima kiruhusu anuwai ya chanzo, na kifaa chochote cha ukaguzi kati yao lazima kiruhusu mtiririko. Njia kuelekea mfano wowote ndani ya VPC haithibitishi hata moja ya hayo manne.

Fanya kazi kutoka mwisho wa mbali kurudi nyuma. Thibitisha kwamba violesura vya mtandao vya kituo cha mwisho vipo katika subnet unazotarajia, kisha thibitisha kwamba kikundi chake cha usalama kinaruhusu anuwai halisi ya eneo na si kishika nafasi. Kisha angalia ikiwa handaki au mzunguko unabeba njia ya kurudi katika mwelekeo huo huo. Ukaguzi ni hatua ambayo watu huiruka, kwa sababu kifaa cha kati kinachoruhusu muunganisho bado kinaweza kutupa mwili mkubwa wa jibu, na hiyo inaonekana kama tatizo la upitishaji na si la sera.

Jaribu kwa operesheni ndogo zaidi iliyoruhusiwa inayopatikana badala ya upakuaji mkubwa. Kushindikana huonekana mapema na kwa trafiki ndogo ya kueleza.

DNS hufuata chanzo cha swali, si VPC

Kituo cha mwisho kilichopo hakielekezi kitu chochote chenyewe. Programu hupokea jina lolote lililorudishwa na kitatuzi chake, na kitatuzi hujibu kulingana na mwonekano unaoruhusiwa kuona. Mfano ndani ya VPC na kompyuta ya mkononi ofisini huuliza maswali mawili tofauti na wote wanaweza kupata majibu sahihi lakini tofauti. Kuthibitisha kimoja na kuhitimisha kuhusu kingine ndiyo njia ambayo jaribio lililopita huwa usambazaji ulioshindikana.

Soma mpangilio wa DNS wa kibinafsi wa kituo cha mwisho kama sehemu ya muundo, si kama kisanduku cha kuteua kinachowashwa baada ya kuanza.

Ikiwa kitatuzi cha ofisi kinapaswa kuona mwonekano wa VPC, njia hiyo lazima ijengwe kwa makusudi, kwa kawaida kupitia kituo cha mwisho cha kitatuzi kinachoingia. Uliza kutoka muktadha wa programu yenyewe na andika ni kitatuzi kipi kilijibu. Matokeo yaliyokusanywa kwenye mwenyeji wa bastion ndani ya VPC yanaelezea mwonekano wa bastion na hakuna kingine.

Ruhusa ni tofauti na ufikivu

Kituo cha mwisho kinachofikika hurudisha makosa kwa maombi ambayo mhusika mkuu haruhusiwi kufanya, na kosa hilo linamaanisha mfumo unafanya kazi kama ulivyoundwa. Sera ya utambulisho, sera ya bakuli na sera yoyote ya kituo cha mwisho hutathminiwa katika tabaka zake. Ufikiaji wa mtandao haujatoa kamwe ruhusa.

Kubali muundo kwa matokeo mawili: wito ulioruhusiwa usio na madhara unaofanikiwa, na kukataliwa kunakotarajiwa kwa utambulisho au bakuli lililotengwa.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Andika jina la kituo cha mwisho, marudio yaliyotatuliwa na muktadha wa sera kando ya kila matokeo, kwa sababu mabadiliko moja ya DNS baadaye yanaweza kubatilisha hitimisho lote. Linganisha gharama ya sasa na uzito wa uendeshaji wa aina zote mbili za vituo vya mwisho kabla ya kuandaa kitu chochote. Kituo cha mwisho cha kiolesura kinanunua kiingilio cha kibinafsi mseto, si hitaji la jumla, na njia ya lango mara nyingi hubaki jibu bora kwa mizigo ya kazi ndani ya VPC. Uchaguzi ni kwa kila mteja na unabaki unaoweza kupitiwa.