S3 ağ geçidi mi yoksa şirket içi istemci için arayüz uç noktası mı?

Bir ofis ağından site VPN üzerinden S3’e ulaşmak, statik bir rotanın tek başına çözebileceği bir yönlendirme sorunu değildir. Ağ geçidi uç noktası yönlendirme tablolarına bağlanır ve VPC içinde doğan isteklere hizmet eder. Arayüz uç noktası, alt ağlarınıza özel adresli elastik ağ arayüzleri yerleştirir ve bu adreslere şirket içinden VPN veya Direct Connect üzerinden erişilebilir. İsteğin nerede başladığı, ikisinden hangisine gerçekten ihtiyacınız olduğunu belirler, DNS, güvenlik grubu ve ilke çalışması da bu yanıttan doğar.

Uç nokta türlerini isteğin başladığı yere göre ayırın

Ağ geçidi uç noktası, yönetilen bir önek listesine işaret eden bir yönlendirme tablosu girdisi olarak görünür. Ağ arayüzü, güvenlik grubu ve kendine ait özel adresi yoktur; şirket içi bir ana bilgisayarın oraya yönlendirme yapamamasının nedeni tam olarak budur: karşı tarafta yönlendirilecek bir şey yoktur. VPC içinden gelen trafik S3’e ulaşır çünkü alt ağın yönlendirme tablosu bu öneği uç noktaya gönderir. Başka herhangi bir yerden gelen trafiğin izleyeceği böyle bir girdisi yoktur.

Arayüz uç noktası, seçtiğiniz alt ağlardaki ağ arayüzlerinden oluşan bir kümedir; her biri o alt ağdan özel bir adrese ve bağlı bir güvenlik grubuna sahiptir. Hibrit bir istemcinin kullanabileceği biçim budur, çünkü tünelinizin paket taşıyabileceği sıradan bir hedeftir. Bu aynı zamanda uç noktanın alt ağdaki adresleri tükettiği ve bunların bitebileceği anlamına gelir.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

Adı değil Type sütununu okuyun. Tek bir VPC genellikle aynı hizmet için iki türü birden barındırır ve şirket içi uygulamanızın ihtiyaç duyduğu girdi arayüz girdisidir.

S3’ü test etmeden önce arayüz adresine giden yolu kurun

Üç şey aynı anda doğru olmalıdır: şirket içi yönlendiricinin uç nokta alt ağına bir rotası vardır, o alt ağdan dönüş yolu istemci ağına ulaşır ve uç noktanın güvenlik grubu istemcinin kaynak aralığına izin verir. Üçü de geçtikten sonra bile alt ağın ağ ACL’si paketi düşürebilir, bu yüzden onu sonradan akla gelen bir düşünce değil dördüncü madde olarak kontrol edin.

VPC’deki herhangi bir EC2 örneğine çalışan bir rota bunların hiçbirini kanıtlamaz. Yalnızca tünelin ayakta olduğunu gösterir, ki bu yolun zaten bildiğiniz tek parçasıdır. Uç nokta adresini ayrı ayrı kanıtlayın, sonra adın oraya çözüldüğünü kanıtlayın.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

İlk komut istemcinin hangi arayüzü kullanacağını gösterir. İkincisi bir TCP el sıkışmasını kanıtlar. Üçüncüsü TLS’in uç nokta adı için geçerli bir sertifikayla tamamlandığını kanıtlar ve izinleri suçlamadan önce yanlış adresi yakalayan kontrol budur.

Uygulamanın hangi DNS yanıtını aldığına karar verin

VPC’de bir arayüz uç noktası bulunması, şirket içi bir SDK’yı kendi başına yönlendirmez. İstemci ya AWS’nin o uç nokta için yayımladığı uç noktaya özgü adı ya da ofisten çözülebilir hale getirmeyi bilinçli olarak seçtiğiniz özel barındırılan bölgeyi kullanır.

Hibrit çözümleme için şirket içi çözümleyicinin VPC’nin DNS görünümüne desteklenen bir yolu olmalıdır, genellikle bir Resolver gelen uç noktası üzerinden. Hangi sorgu kaynaklarını etkilediğini anlamadan özel DNS’i açmak, bir aramanın ofisin ulaşamayacağı bir adres döndürmeye başlamasının yoludur. Ayar, VPC çözümleyicisi üzerinden gelen sorguların yanıtlarını değiştirir, her yerdeki her istemcinin yanıtını değil.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

İkisini de uygulamanın ana bilgisayarında çalıştırın, VPC içindeki atlama kutusunda değil. Orada yanıt veren çözümleyici iş yükünüzün kullandığıdır ve başka bir ana bilgisayardan farklı yanıt almak bu tasarımdaki en yaygın karışıklık kaynağıdır.

Erişilebilirlik yetkilendirme değildir

Uç noktaya ulaşan bir istek hâlâ yetkili bir asıl ve geçerli bir kova izni gerektirir. Uç nokta ilkesi uç noktanın izin verdiğini daraltabilir, kova ilkesi bunu daha da daraltabilir. Arayüze ulaşmak, çağıranın hangi nesneleri okuyabileceği hakkında hiçbir şey söylemez.

Her iki yönü test edin: hedeflenen kovaya karşı zararsız ve yetkili bir çağrı, ve ilke dışındaki bir kimlik veya kaynak için reddedilmesi beklenen bir çağrı. Uç nokta adını, çözülen adresi ve ilke bağlamını sonuçla birlikte saklayın ki sonraki kişi bunu yeniden üretebilsin. İlkenin türünü adlandıran bir ret, bir saatlik tahminden tasarruf sağlar.

Son olarak, sağlamadan önce iki seçeneğin maliyetini hesaplayın. Arayüz uç noktası arayüz saati ve gigabayt başına faturalandırılır, ağ geçidi uç noktası ise faturalandırılmaz, ve bu fark yalnızca VPC tarafından erişim gerektiren birçok düşük hacimli iş yükü için soruyu belirler.