S3: gateway o interface endpoint para sa pag-access mula sa lokal na network

Dalawang uri ng S3 endpoint ang mukhang mapagpapalit sa isang pagsusuri ng disenyo at kumikilos nang lubos na naiiba kapag ang kliyente ay nasa labas ng site. Ang gateway endpoint ay integrasyon sa routing table sa loob ng isang VPC, kaya ang kahilingan mula sa VPN ng site ay hindi kailanman dumarating doon bilang pribadong destinasyon. Ang interface endpoint ay naglalagay ng pribadong address sa mga network interface, na talagang maaabot ng hybrid na landas. Lahat ng sumusunod ay nakasalalay sa kung alin sa dalawa ang pinili mo.

Magpasya batay sa network entry, hindi sa pangalan ng serbisyo

Magsimula sa pinagmumulan ng trapiko, dahil iyon ang tanong na sinasagot ng uri ng endpoint. Ang workload sa isang suportadong konteksto ng VPC ay makakagamit ng gateway endpoint at hindi kailanman nangangailangan ng sariling pribadong address. Ang workload sa site ay nangangailangan ng pribadong address na maaari nitong ruta, at iyon ang ibinibigay ng interface endpoint. Kung pinaghahalo ng disenyo ang dalawa, ang dalawang uri ng endpoint ay maaaring magkasamang umiral sa isang VPC, at iyon ay normal na kaayusan at hindi duplikasyon.

Ang paghahalo sa kanila ay hindi ang problema. Ang pag-aakala na sakop ng isang uri ang isa pa ang problema.

Uriin ang kliyente bago pumili ng anuman. Ang workspace sa loob ng VPC, container sa likod ng NAT gateway at application sa sangay na opisina ay tatlong magkaibang pinagmulan, at ang huling isa lamang ang nagpipilit ng hybrid na pasukan. Isulat ang pag-uuring iyon sa tabi ng imbentaryo ng endpoint upang makita ng susunod na tagasuri kung bakit umiiral ang bawat endpoint.

Ano ang kailangan ng interface path mula simula hanggang wakas

Ang interface endpoint ay nagbibigay ng maabot para sa mga pribadong address, at ang maabot ay isa lamang sa apat na kinakailangan. Kailangan ng lokal na network ng ruta patungo sa mga address na iyon, kailangan ng panig ng VPC ng pabalik na landas, dapat payagan ng security group ng endpoint ang hanay ng pinagmulan, at dapat payagan ng anumang inspection appliance sa pagitan nila ang daloy. Ang ruta patungo sa alinmang instance sa VPC ay hindi nagpapatunay ng alinman sa apat.

Magtrabaho mula sa malayong dulo pabalik. Kumpirmahin na ang mga network interface ng endpoint ay nasa mga subnet na inaasahan mo, pagkatapos ay kumpirmahin na pinapayagan ng security group nito ang tunay na lokal na hanay at hindi isang placeholder. Pagkatapos ay tingnan kung dinadala ng tunnel o circuit ang pabalik na landas sa parehong direksyon. Ang inspeksyon ang hakbang na nilalaktawan ng mga tao, dahil ang middlebox na pumapayag sa koneksyon ay maaari pa ring magtapon ng mas malaking katawan ng tugon, at mukha iyong problema sa throughput at hindi sa patakaran.

Subukan gamit ang pinakamaliit na awtorisadong operasyon na available sa halip na malaking download. Mas maaga at mas kaunting trapiko ang kailangang ipaliwanag kapag may pagpalya.

Ang DNS ay sumusunod sa pinagmulan ng query, hindi sa VPC

Ang endpoint na umiiral ay hindi nagre-redirect ng anuman sa sarili nito. Natatanggap ng application ang pangalang ibinalik ng resolver nito, at sumasagot ang resolver ayon sa view na pinapayagan itong makita. Ang instance sa loob ng VPC at laptop sa opisina ay nagtatanong ng dalawang magkaibang tanong at parehong makakakuha ng tamang pero magkaibang sagot. Ang i-verify ang isa at maghinuha tungkol sa isa ay ang paraan kung paano nagiging bigong deployment ang isang pumasa na test.

Basahin ang pribadong DNS setting ng endpoint bilang bahagi ng disenyo, hindi bilang checkbox na bubuksan pagkatapos ng go-live.

Kung kailangang makita ng resolver sa opisina ang view ng VPC, kailangang sadyang itayo ang landas na iyon, kadalasan sa pamamagitan ng inbound resolver endpoint. Mag-query mula sa sariling konteksto ng application at itala kung aling resolver ang sumagot. Ang resultang nakalap sa bastion host sa loob ng VPC ay naglalarawan ng view ng bastion at wala nang iba.

Ang pahintulot ay hiwalay sa maabot

Ang maabot na endpoint ay nagbabalik ng mga error para sa mga kahilingang hindi pinapayagang gawin ng principal, at ang error na iyon ay nangangahulugang gumagana ang sistema ayon sa disenyo. Ang patakaran ng pagkakakilanlan, patakaran ng bucket at anumang patakaran ng endpoint ay sinusuri sa kani-kanilang sariling mga layer. Ang access sa network ay hindi kailanman nagbigay ng pahintulot.

Tanggapin ang disenyo batay sa dalawang resulta: isang walang pinsalang awtorisadong tawag na nagtagumpay, at isang inaasahang pagtanggi para sa isang ibinukod na pagkakakilanlan o bucket.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Itala ang pangalan ng endpoint, ang naresolbang destinasyon at ang konteksto ng patakaran sa tabi ng bawat resulta, dahil ang isang pagbabago sa DNS mamaya ay maaaring magpawalang-bisa sa buong konklusyon. Ihambing ang kasalukuyang gastos at operating bigat ng dalawang uri ng endpoint bago mag-provision ng anuman. Ang interface endpoint ay bumibili ng hybrid na pribadong pasukan, hindi ito pangkalahatang kinakailangan, at ang gateway path ay madalas na nananatiling mas mabuting sagot para sa mga workload sa loob ng VPC. Ang pagpili ay bawat kliyente at nananatiling nasusuri.