S3: yerel ağdan erişim için ağ geçidi veya arayüz uç noktası

İki S3 uç noktası türü tasarım incelemesinde birbirinin yerine geçebilir görünür ve istemci saha dışına çıktığı anda tamamen farklı davranır. Ağ geçidi uç noktası VPC içinde yönlendirme tablosuyla bir entegrasyondur, bu yüzden saha VPN'inden gelen bir istek oraya asla özel hedef olarak ulaşmaz. Arayüz uç noktası özel adresleri ağ arayüzlerine yerleştirir ve hibrit bir yol oraya gerçekten ulaşabilir. Sonraki her şey bu ikisinden hangisini seçtiğinize bağlıdır.

Hizmet adına göre değil, ağ girişine göre karar verin

Trafiğin oluştuğu yerden başlayın, çünkü uç nokta türünün yanıtladığı soru budur. Desteklenen bir VPC bağlamındaki iş yükü ağ geçidi uç noktasını kullanabilir ve hiçbir zaman kendi özel adresine ihtiyaç duymaz. Sahadaki iş yükü yönlendirebileceği özel bir adrese ihtiyaç duyar ve bunu arayüz uç noktası sağlar. Bir tasarım ikisini karıştırıyorsa, her iki uç nokta türü tek bir VPC'de bir arada bulunabilir ve bu normal bir düzenleme olup çoğaltma değildir.

Onları karıştırmak sorun değildir. Bir türün diğerini kapsadığını varsaymak sorundur.

Bir şey seçmeden önce istemciyi sınıflandırın. VPC içindeki çalışma alanı, NAT ağ geçidinin arkasındaki kapsayıcı ve şube ofisindeki uygulama üç farklı kaynaktır ve yalnızca sonuncusu hibrit girişi zorunlu kılar. Bu sınıflandırmayı uç nokta envanterinin yanına yazın, böylece sonraki gözden geçiren her uç noktanın neden var olduğunu görsün.

Arayüz yolunun baştan sona gerektirdikleri

Arayüz uç noktası özel adreslere erişilebilirlik sağlar ve erişilebilirlik dört gereksinimden yalnızca biridir. Yerel ağın bu adreslere bir rotaya, VPC tarafının dönüş yoluna, uç noktanın güvenlik grubunun kaynak aralığına izin vermesine ve ikisi arasındaki herhangi bir denetim cihazının akışa izin vermesine ihtiyacı vardır. VPC'deki herhangi bir örneğe giden bir rota bu dördünün hiçbirini kanıtlamaz.

Uzak uçtan geriye doğru çalışın. Uç noktanın ağ arayüzlerinin beklediğiniz alt ağlarda bulunduğunu doğrulayın, ardından güvenlik grubunun yer tutucu değil gerçek yerel aralığa izin verdiğini doğrulayın. Daha sonra tünelin veya hattın dönüş yolunu aynı yönde taşıdığını kontrol edin. Denetim, insanların atladığı adımdır, çünkü bağlantıya izin veren bir ara cihaz yine de daha büyük bir yanıt gövdesini düşürebilir ve bu politika sorunu değil, verim sorunu gibi görünür.

Büyük bir indirme yerine mevcut en küçük yetkili işlemle test edin. Hata daha erken ve açıklanacak daha az trafikle ortaya çıkar.

DNS, VPC'yi değil sorgunun kaynağını izler

Var olan bir uç nokta kendi başına hiçbir şeyi yeniden yönlendirmez. Uygulama, çözümleyicisinin döndürdüğü adı alır ve çözümleyici, görmesine izin verilen görünüme göre yanıt verir. VPC içindeki bir örnek ile ofisteki bir dizüstü iki farklı soru sorar ve ikisi de doğru ama farklı yanıtlar alabilir. Birini doğrulayıp diğeri hakkında sonuca varmak, geçen bir testin başarısız bir dağıtıma dönüşme yoludur.

Uç noktanın özel DNS ayarını tasarımın parçası olarak okuyun, yayına girdikten sonra açılacak bir onay kutusu olarak değil.

Ofisteki çözümleyicinin VPC görünümünü görmesi gerekiyorsa, bu yol bilerek inşa edilmelidir, genellikle gelen bir çözümleyici uç noktası aracılığıyla. Uygulamanın kendi bağlamından sorgulayın ve hangi çözümleyicinin yanıt verdiğini not edin. VPC içindeki bir bastion ana bilgisayarında toplanan sonuç yalnızca bastionun görünümünü açıklar, başka bir şeyi değil.

İzin, erişilebilirlikten ayrıdır

Erişilebilir bir uç nokta, asıl öznenin yapmaya yetkili olmadığı istekler için hatalar döndürür ve bu hata sistemin tasarlandığı gibi çalıştığı anlamına gelir. Kimlik politikası, bucket politikası ve herhangi bir uç nokta politikası kendi katmanlarında değerlendirilir. Ağ erişimi hiçbir zaman izin vermedi.

Tasarımı iki sonuçla kabul edin: başarılı olan zararsız yetkili bir çağrı ve hariç tutulan bir kimlik veya bucket için beklenen ret.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Her sonucun yanına uç noktanın adını, çözülen hedefi ve politika bağlamını kaydedin, çünkü sonraki tek bir DNS değişikliği tüm sonucu geçersiz kılabilir. Herhangi bir şey sağlamadan önce iki uç nokta türünün mevcut maliyetini ve operasyonel ağırlığını karşılaştırın. Arayüz uç noktası hibrit bir özel giriş satın alır, evrensel bir gereksinim değildir ve ağ geçidi yolu VPC içindeki iş yükleri için çoğu zaman daha iyi yanıt olarak kalır. Seçim istemci bazındadır ve yeniden gözden geçirilebilir kalır.