ఆన్-ప్రిమైసెస్ క్లయింట్ కోసం S3 గేట్వే లేదా ఇంటర్ఫేస్ ఎండ్పాయింట్?

సైట్ VPN ద్వారా కార్యాలయ నెట్వర్క్ నుండి S3కి చేరుకోవడం స్టాటిక్ మార్గం ఒంటరిగా పరిష్కరించగల రౌటింగ్ సమస్య కాదు. గేట్వే ఎండ్పాయింట్ రూట్ పట్టికలకు జోడించబడి VPC లోపల ఉత్పన్నమయ్యే అభ్యర్థనలకు సేవ చేస్తుంది. ఇంటర్ఫేస్ ఎండ్పాయింట్ మీ సబ్నెట్లలో ప్రైవేట్ చిరునామాలతో సాగే నెట్వర్క్ ఇంటర్ఫేస్లను ఉంచుతుంది, ఆ చిరునామాలను VPN లేదా Direct Connect ద్వారా ఆన్-ప్రిమైసెస్ నుండి చేరుకోవచ్చు. అభ్యర్థన ఎక్కడ ప్రారంభమవుతుందనేది మీకు నిజంగా రెండింటిలో ఏది కావాలో నిర్ణయిస్తుంది, DNS, భద్రతా సమూహం మరియు విధానం పని ఆ సమాధానం నుండి వస్తుంది.

అభ్యర్థన ఎక్కడ ప్రారంభమవుతుందన్న దాని ఆధారంగా ఎండ్పాయింట్ రకాలను వేరు చేయండి

గేట్వే ఎండ్పాయింట్ నిర్వహిత ప్రిఫిక్స్ జాబితాను సూచించే రూట్ పట్టిక నమోదుగా కనిపిస్తుంది. దానికి నెట్వర్క్ ఇంటర్ఫేస్, భద్రతా సమూహం లేదా సొంత ప్రైవేట్ చిరునామా ఉండదు, అందుకే ఆన్-ప్రిమైసెస్ హోస్ట్ దాని వైపు రౌట్ చేయలేదు: ఆవలి వైపు రౌట్ చేయడానికి ఏమీ లేదు. VPC లోపలి నుండి ట్రాఫిక్ S3కి చేరుతుంది ఎందుకంటే సబ్నెట్ రూట్ పట్టిక ఆ ప్రిఫిక్స్ను ఎండ్పాయింట్కు పంపుతుంది. మరెక్కడి నుండైనా వచ్చే ట్రాఫిక్కు అనుసరించడానికి అలాంటి నమోదు ఉండదు.

ఇంటర్ఫేస్ ఎండ్పాయింట్ అనేది మీరు ఎంచుకున్న సబ్నెట్లలోని నెట్వర్క్ ఇంటర్ఫేస్ల సమితి, ప్రతిదానికీ ఆ సబ్నెట్ నుండి ప్రైవేట్ చిరునామా మరియు జోడించిన భద్రతా సమూహం ఉంటాయి. హైబ్రిడ్ క్లయింట్ ఉపయోగించగల రూపం ఇదే, ఎందుకంటే ఇది మీ టన్నెల్ ప్యాకెట్లను తీసుకెళ్లగల సాధారణ గమ్యస్థానం. ఎండ్పాయింట్ సబ్నెట్లో చిరునామాలను వినియోగిస్తుంది మరియు అవి అయిపోవచ్చు అని కూడా దీని అర్థం.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

పేరు కాకుండా Type నిలువు వరుస చదవండి. ఒకే VPC సాధారణంగా ఒకే సేవకు రెండు రకాలను ఉంచుతుంది, మీ ఆన్-ప్రిమైసెస్ అప్లికేషన్కు కావలసిన నమోదు ఇంటర్ఫేస్ నమోదు.

S3ను పరీక్షించే ముందు ఇంటర్ఫేస్ చిరునామా వరకు మార్గాన్ని నిర్మించండి

మూడు విషయాలు ఒకే సమయంలో నిజం కావాలి: ఆన్-ప్రిమైసెస్ రౌటర్కు ఎండ్పాయింట్ సబ్నెట్కు మార్గం ఉంది, ఆ సబ్నెట్ నుండి తిరిగి వెళ్లే మార్గం క్లయింట్ నెట్వర్క్ను చేరుతుంది, ఎండ్పాయింట్ భద్రతా సమూహం క్లయింట్ మూల పరిధిని అనుమతిస్తుంది. మూడూ దాటిన తర్వాత కూడా సబ్నెట్ నెట్వర్క్ ACL ప్యాకెట్ను పడేయవచ్చు, కాబట్టి దాన్ని తర్వాతి ఆలోచనగా కాకుండా నాల్గవ అంశంగా తనిఖీ చేయండి.

VPC లోని ఏదో EC2 ఇన్స్టాన్స్కు పనిచేసే మార్గం వీటిలో ఏదీ నిరూపించదు. టన్నెల్ పైన ఉందని మాత్రమే చూపుతుంది, అది మీకు ఇప్పటికే తెలిసిన మార్గంలోని ఒకే భాగం. ఎండ్పాయింట్ చిరునామాను విడిగా నిరూపించండి, తర్వాత పేరు దానికి పరిష్కరించబడుతుందని నిరూపించండి.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

మొదటి ఆదేశం క్లయింట్ ఏ ఇంటర్ఫేస్ ఉపయోగిస్తుందో చూపుతుంది. రెండవది TCP కరచాలనాన్ని నిరూపిస్తుంది. మూడవది ఎండ్పాయింట్ పేరుకు చెల్లుబాటు అయ్యే ధృవపత్రంతో TLS పూర్తవుతుందని నిరూపిస్తుంది, అనుమతులను నిందించే ముందు తప్పు చిరునామాను పట్టుకునే తనిఖీ అదే.

అప్లికేషన్ ఏ DNS సమాధానం పొందుతుందో నిర్ణయించండి

VPC లో ఇంటర్ఫేస్ ఎండ్పాయింట్ ఉండటం ఆన్-ప్రిమైసెస్ SDKను దానంతట అదే మళ్లించదు. క్లయింట్ AWS ఆ ఎండ్పాయింట్ కోసం ప్రచురించే ఎండ్పాయింట్-నిర్దిష్ట పేరును లేదా కార్యాలయం నుండి పరిష్కరించగలిగేలా మీరు ఉద్దేశపూర్వకంగా చేసిన ప్రైవేట్ హోస్టెడ్ జోన్ను ఉపయోగిస్తుంది.

హైబ్రిడ్ పరిష్కారం కోసం, ఆన్-ప్రిమైసెస్ పరిష్కర్తకు VPC DNS వీక్షణలోకి మద్దతు ఉన్న మార్గం కావాలి, సాధారణంగా Resolver ఇన్బౌండ్ ఎండ్పాయింట్ ద్వారా. ఏ క్వెరీ మూలాలపై ప్రభావం చూపుతుందో అర్థం చేసుకోకుండా ప్రైవేట్ DNSని ఆన్ చేయడం, వెతుకుడు కార్యాలయం చేరుకోలేని చిరునామాను తిరిగి ఇవ్వడం ప్రారంభించే మార్గం. ఈ సెట్టింగ్ VPC పరిష్కర్త ద్వారా వచ్చే క్వెరీల సమాధానాలను మారుస్తుంది, ప్రతి చోట ప్రతి క్లయింట్ వాటిని కాదు.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

రెండింటినీ అప్లికేషన్ హోస్ట్లో అమలు చేయండి, VPC లోని జంప్ బాక్స్లో కాదు. అక్కడ సమాధానం ఇచ్చే పరిష్కర్త మీ వర్క్లోడ్ ఉపయోగించేది, వేరే హోస్ట్ నుండి వేరే సమాధానం రావడం ఈ రూపకల్పనలో అత్యంత సాధారణ గందరగోళ మూలం.

చేరుకోవడం అనుమతి కాదు

ఎండ్పాయింట్కు చేరుకున్న అభ్యర్థనకు ఇంకా అధికారం పొందిన ప్రధాన వ్యక్తి మరియు వర్తించే బకెట్ అనుమతి కావాలి. ఎండ్పాయింట్ విధానం ఎండ్పాయింట్ అనుమతించేదాన్ని తగ్గించవచ్చు, బకెట్ విధానం దాన్ని మరింత తగ్గించవచ్చు. ఇంటర్ఫేస్కు చేరుకోవడం కాలర్ ఏ వస్తువులను చదవగలరనే దాని గురించి ఏమీ చెప్పదు.

రెండు దిశలను పరీక్షించండి: ఉద్దేశించిన బకెట్కు వ్యతిరేకంగా ఒక హానిచేయని అధికార పొందిన కాల్, మరియు విధానం వెలుపల ఉన్న గుర్తింపు లేదా వనరు కోసం తిరస్కరించబడుతుందని ఆశించే ఒక కాల్. ఫలితంతో పాటు ఎండ్పాయింట్ పేరు, పరిష్కరించబడిన చిరునామా మరియు విధాన సందర్భాన్ని ఉంచండి, తదుపరి వ్యక్తి దాన్ని పునరుత్పత్తి చేయగలరు. విధాన రకాన్ని పేర్కొనే తిరస్కరణ ఒక గంట ఊహను ఆదా చేస్తుంది.

చివరగా, ఏర్పాటు చేయడానికి ముందు రెండు ఎంపికల ఖర్చును అంచనా వేయండి. ఇంటర్ఫేస్ ఎండ్పాయింట్ ఇంటర్ఫేస్-గంట మరియు గిగాబైట్కు బిల్ చేస్తుంది, గేట్వే ఎండ్పాయింట్ అలా చేయదు, ఈ వ్యత్యాసమే VPC వైపు యాక్సెస్ మాత్రమే కావాల్సిన చాలా తక్కువ పరిమాణ వర్క్లోడ్లకు ప్రశ్నను నిర్ణయిస్తుంది.