உள்ளக கிளையண்டிற்கு S3 நுழைவாயில் அல்லது இடைமுக முடிவுப்புள்ளியா?

தள VPN வழியாக அலுவலக வலையமைப்பிலிருந்து S3 ஐ அணைவது நிலையான வழித்தடம் தனியாகத் தீர்க்கக்கூடிய வழிசெலுத்தல் சிக்கல் அல்ல. நுழைவாயில் முடிவுப்புள்ளி வழிசெலுத்தல் அட்டவணைகளுடன் இணைக்கப்பட்டு VPC க்குள் தோன்றும் கோரிக்கைகளுக்குச் சேவை செய்கிறது. இடைமுக முடிவுப்புள்ளி உங்கள் துணை வலையமைப்புகளில் தனிப்பட்ட முகவரிகளைக் கொண்ட நெகிழ்வான வலையமைப்பு இடைமுகங்களை வைக்கிறது, அந்த முகவரிகளை VPN அல்லது Direct Connect வழியாக உள்ளகத்திலிருந்து அணையலாம். கோரிக்கை எங்கிருந்து தொடங்குகிறது என்பதே இரண்டில் எது உண்மையில் தேவை என்பதைத் தீர்மானிக்கிறது, DNS, பாதுகாப்புக் குழு மற்றும் கொள்கை வேலை அந்த பதிலிலிருந்து வருகிறது.

கோரிக்கை தொடங்கும் இடத்தைப் பொறுத்து முடிவுப்புள்ளி வகைகளைப் பிரிக்கவும்

நுழைவாயில் முடிவுப்புள்ளி நிர்வகிக்கப்படும் முன்னொட்டுப் பட்டியலைச் சுட்டும் வழிசெலுத்தல் அட்டவணைப் பதிவாகத் தோன்றுகிறது. அதற்கு வலையமைப்பு இடைமுகம், பாதுகாப்புக் குழு அல்லது சொந்த தனிப்பட்ட முகவரி இல்லை, அதனால்தான் உள்ளக ஹோஸ்ட் அதை நோக்கி வழிசெலுத்த முடியாது: மறுபுறம் வழிசெலுத்த எதுவும் இல்லை. VPC க்குள் இருந்து வரும் போக்குவரத்து S3 ஐ அடைகிறது, ஏனெனில் துணை வலையமைப்பின் வழிசெலுத்தல் அட்டவணை அந்த முன்னொட்டை முடிவுப்புள்ளிக்கு அனுப்புகிறது. வேறு எங்கிருந்து வரும் போக்குவரத்துக்கு பின்பற்ற அத்தகைய பதிவு இல்லை.

இடைமுக முடிவுப்புள்ளி என்பது நீங்கள் தேர்ந்தெடுக்கும் துணை வலையமைப்புகளில் உள்ள வலையமைப்பு இடைமுகங்களின் தொகுப்பாகும், ஒவ்வொன்றும் அந்த துணை வலையமைப்பிலிருந்து ஒரு தனிப்பட்ட முகவரியையும் இணைக்கப்பட்ட பாதுகாப்புக் குழுவையும் கொண்டுள்ளது. கலப்பின கிளையண்ட் பயன்படுத்தக்கூடிய வடிவம் இதுவே, ஏனெனில் இது உங்கள் சுரங்கப்பாதை பாக்கெட்டுகளை எடுத்துச் செல்லக்கூடிய சாதாரண இலக்கு. முடிவுப்புள்ளி துணை வலையமைப்பில் முகவரிகளைப் பயன்படுத்துகிறது, அவை தீர்ந்துபோகவும் வாய்ப்புள்ளது என்பதையும் இது குறிக்கிறது.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

பெயருக்குப் பதிலாக Type நிரலைப் படிக்கவும். ஒரு VPC பொதுவாக ஒரே சேவைக்கு இரு வகைகளையும் வைத்திருக்கும், உங்கள் உள்ளக பயன்பாட்டிற்குத் தேவையான பதிவு இடைமுகப் பதிவே.

S3 ஐ சோதிப்பதற்கு முன் இடைமுக முகவரிக்கான பாதையை உருவாக்கவும்

மூன்று விஷயங்கள் ஒரே நேரத்தில் உண்மையாக இருக்க வேண்டும்: உள்ளக திசைவிக்கு முடிவுப்புள்ளி துணை வலையமைப்புக்கு வழி உள்ளது, அந்த துணை வலையமைப்பிலிருந்து திரும்பும் பாதை கிளையண்ட் வலையமைப்பை அடைகிறது, முடிவுப்புள்ளியின் பாதுகாப்புக் குழு கிளையண்டின் மூல வரம்பை அனுமதிக்கிறது. மூன்றும் கடந்த பிறகும் துணை வலையமைப்பின் வலையமைப்பு ACL பாக்கெட்டை வீழ்த்தலாம், எனவே அதை பிற்கால சிந்தனையாக அல்ல, நான்காவது உருப்படியாகச் சரிபார்க்கவும்.

VPC யில் ஏதோ ஒரு EC2 நிகழ்வுக்கு வேலை செய்யும் வழி இவற்றில் எதையும் நிரூபிக்காது. சுரங்கப்பாதை மேலே உள்ளது என்பதை மட்டுமே காட்டுகிறது, அது நீங்கள் ஏற்கனவே அறிந்த பாதையின் ஒரே பகுதி. முடிவுப்புள்ளி முகவரியைத் தனியாக நிரூபிக்கவும், பின்னர் பெயர் அதற்குத் தீர்க்கப்படுவதை நிரூபிக்கவும்.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

முதல் கட்டளை கிளையண்ட் எந்த இடைமுகத்தைப் பயன்படுத்தும் என்பதைக் காட்டுகிறது. இரண்டாவது TCP கைக்குலுக்கலை நிரூபிக்கிறது. மூன்றாவது முடிவுப்புள்ளி பெயருக்கு செல்லுபடியாகும் சான்றிதழுடன் TLS நிறைவடைவதை நிரூபிக்கிறது, அனுமதிகளைக் குறை கூறும் முன் தவறான முகவரியைப் பிடிக்கும் சரிபார்ப்பு அதுவே.

பயன்பாடு எந்த DNS பதிலைப் பெறுகிறது என்பதைத் தீர்மானிக்கவும்

VPC யில் இடைமுக முடிவுப்புள்ளி இருப்பது உள்ளக SDK ஐத் தானாகவே திருப்பிவிடாது. கிளையண்ட் ஒன்று AWS அந்த முடிவுப்புள்ளிக்கு வெளியிடும் முடிவுப்புள்ளி சார்ந்த பெயரைப் பயன்படுத்துகிறது, அல்லது அலுவலகத்திலிருந்து தீர்க்கக்கூடியதாக நீங்கள் வேண்டுமென்றே உருவாக்கிய தனிப்பட்ட ஹோஸ்ட் செய்யப்பட்ட மண்டலத்தைப் பயன்படுத்துகிறது.

கலப்பின தீர்வுக்கு, உள்ளக தீர்வி VPC யின் DNS பார்வைக்குள் ஆதரிக்கப்பட்ட பாதையைக் கொண்டிருக்க வேண்டும், பொதுவாக Resolver உள்வரும் முடிவுப்புள்ளி வழியாக. எந்த வினவல் மூலங்களை இது பாதிக்கிறது என்பதைப் புரிந்துகொள்ளாமல் தனிப்பட்ட DNS ஐ இயக்குவதே தேடல் அலுவலகம் அணைய முடியாத முகவரியைத் திருப்பித் தரத் தொடங்கும் வழி. இந்த அமைப்பு VPC தீர்வி வழியாக வரும் வினவல்களின் பதில்களை மாற்றுகிறது, எல்லா இடங்களிலும் உள்ள ஒவ்வொரு கிளையண்டின் பதிலையும் அல்ல.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

இரண்டையும் பயன்பாட்டு ஹோஸ்ட்டில் இயக்கவும், VPC க்குள் உள்ள தாவல் பெட்டியில் அல்ல. அங்கு பதிலளிக்கும் தீர்வியே உங்கள் பணிச்சுமை பயன்படுத்துவது, வேறு ஹோஸ்ட்டிலிருந்து வேறு பதில் வருவதே இந்த வடிவமைப்பில் மிகவும் பொதுவான குழப்பத்தின் மூலம்.

அணைவது என்பது அனுமதி அல்ல

முடிவுப்புள்ளியை அடையும் கோரிக்கைக்கு இன்னும் அதிகாரம் பெற்ற முதன்மை மற்றும் பொருந்தும் வாளி அனுமதி தேவை. முடிவுப்புள்ளி கொள்கை முடிவுப்புள்ளி அனுமதிப்பதைக் குறைக்கலாம், வாளி கொள்கை அதை மேலும் குறைக்கலாம். இடைமுகத்தை அணைவது அழைப்பாளர் எந்தப் பொருட்களைப் படிக்கலாம் என்பதைப் பற்றி எதுவும் கூறாது.

இரு திசைகளையும் சோதிக்கவும்: நோக்கமிட்ட வாளிக்கு எதிராக ஒரு தீங்கற்ற அதிகாரமளிக்கப்பட்ட அழைப்பு, மற்றும் கொள்கைக்கு வெளியே உள்ள அடையாளம் அல்லது வளத்திற்கு மறுக்கப்படும் என எதிர்பார்க்கப்படும் ஒரு அழைப்பு. முடிவுப்புள்ளி பெயர், தீர்க்கப்பட்ட முகவரி மற்றும் கொள்கை சூழலை முடிவுடன் சேமிக்கவும், அடுத்த நபர் அதை மீண்டும் உருவாக்க முடியும். கொள்கையின் வகையைக் குறிப்பிடும் மறுப்பு ஒரு மணி நேர ஊகத்தைச் சேமிக்கிறது.

இறுதியாக, வழங்குவதற்கு முன் இரு விருப்பங்களின் விலையை மதிப்பிடவும். இடைமுக முடிவுப்புள்ளி இடைமுக-மணி மற்றும் கிகாபைட்டுக்கு கட்டணம் வசூலிக்கிறது, நுழைவாயில் முடிவுப்புள்ளி அவ்வாறு செய்யாது, இந்த வேறுபாடே VPC பக்க அணுகல் மட்டும் தேவைப்படும் பல குறைந்த அளவு பணிச்சுமைகளுக்கு விடையைத் தீர்மானிக்கிறது.