Mahalliy mijoz uchun S3 shlyuzi yoki interfeys yakuniy nuqtasimi?

Ofis tarmog’idan sayt VPN orqali S3 ga yetish statik marshrut o’zi hal qila oladigan marshrutlash muammosi emas. Shlyuz yakuniy nuqtasi marshrutlash jadvallariga ulanadi va VPC ichida paydo bo’ladigan so’rovlarga xizmat qiladi. Interfeys yakuniy nuqtasi subnetlaringizda xususiy manzilli egiluvchan tarmoq interfeyslarini joylashtiradi va bu manzillarga mahalliy joydan VPN yoki Direct Connect orqali yetish mumkin. So’rov qayerdan boshlanishi qaysi biri chindan ham kerakligini belgilaydi, DNS, xavfsizlik guruhi va siyosat ishi esa shu javobdan kelib chiqadi.

Yakuniy nuqta turlarini so’rov qayerdan boshlanishiga qarab ajrating

Shlyuz yakuniy nuqtasi boshqariladigan prefikslar ro’yxatiga ishora qiluvchi marshrutlash jadvali yozuvi sifatida ko’rinadi. Unda tarmoq interfeysi, xavfsizlik guruhi va o’zining xususiy manzili yo’q, shuning uchun mahalliy host unga marshrut qila olmaydi: narigi tomonda marshrut qiladigan hech narsa yo’q. VPC ichidan kelgan trafik S3 ga yetadi, chunki subnet marshrutlash jadvali o’sha prefiksni yakuniy nuqtaga yuboradi. Boshqa har qanday joydan kelgan trafikda kuzatadigan bunday yozuv yo’q.

Interfeys yakuniy nuqtasi siz tanlagan subnetlardagi tarmoq interfeyslari to’plamidir, ularning har birida shu subnetdan xususiy manzil va ulangan xavfsizlik guruhi bor. Bu gibrid mijoz foydalana oladigan shakl, chunki bu sizning tunnelngiz paketlarni olib borishi mumkin bo’lgan oddiy manzil. Bu shuningdek yakuniy nuqta subnetdagi manzillarni sarflaydi va ular tugashi mumkinligini bildiradi.

aws ec2 describe-vpc-endpoints --query "VpcEndpoints[].{Id:VpcEndpointId,Type:VpcEndpointType,Service:ServiceName,State:State}" --output table

Nomni emas, Type ustunini o’qing. Bitta VPC odatda bir xizmat uchun ikkala turni ham saqlaydi, va sizning mahalliy ilovangizga kerak bo’lgan yozuv interfeys yozuvidir.

S3 ni sinashdan oldin interfeys manziliga yo’l quring

Uch narsa bir vaqtda to’g’ri bo’lishi kerak: mahalliy marshrutizatorning yakuniy nuqta subnetiga marshruti bor, shu subnetdan qaytish yo’li mijoz tarmog’iga yetadi va yakuniy nuqtaning xavfsizlik guruhi mijozning manba diapazonini qabul qiladi. Uchtasi o’tgandan keyin ham subnetning tarmoq ACL paketni tashlab yuborishi mumkin, shuning uchun uni keyingi o’ylash emas, to’rtinchi band sifatida tekshiring.

VPC dagi qandaydir EC2 nusxasiga ishlaydigan marshrut buning hech birini isbotlamaydi. U faqat tunnel ko’tarilganini ko’rsatadi, bu siz allaqachon bilgan yo’lning bir qismidir. Yakuniy nuqta manzilini alohida isbotlang, so’ngra nom o’sha manzilga yechilishini isbotlang.

ip route get 10.60.4.37
nc -vz 10.60.4.37 443
openssl s_client -connect 10.60.4.37:443 -servername bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com </dev/null

Birinchi buyruq mijoz qaysi interfeysdan foydalanishini ko’rsatadi. Ikkinchisi TCP qo’l berishini isbotlaydi. Uchinchisi TLS yakuniy nuqta nomiga amal qiluvchi sertifikat bilan tugashini isbotlaydi, va ruxsatlarni ayblashdan oldin noto’g’ri manzilni ushlaydigan tekshiruv aynan shu.

Ilova qaysi DNS javobini olishini hal qiling

VPC da interfeys yakuniy nuqtasining bo’lishi mahalliy SDK ni o’z-o’zidan yo’naltirmaydi. Mijoz yo AWS o’sha yakuniy nuqta uchun e’lon qiladigan yakuniy nuqtaga xos nomni, yo ofisdan yechiladigan qilib ataylab yaratgan xususiy xosting zonasini ishlatadi.

Gibrid yechim uchun mahalliy yechuvchiga VPC ning DNS ko’rinishiga qo’llab-quvvatlanadigan yo’l kerak, odatda Resolver kiruvchi yakuniy nuqtasi orqali. Xususiy DNS ni qaysi so’rov manbalariga ta’sir qilishini tushunmasdan yoqish — qidiruv ofis yeta olmaydigan manzilni qaytara boshlashining yo’li. Sozlama VPC yechuvchisi orqali keladigan so’rovlarning javoblarini o’zgartiradi, hamma joydagi har bir mijoznikini emas.

dig +short bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com
aws s3api head-bucket --bucket example-artifacts --endpoint-url https://bucket.vpce-0123456789abcdef0-abc123.s3.us-east-1.vpce.amazonaws.com

Ikkalasini ham ilova hostida ishga tushiring, VPC ichidagi sakrash qutisida emas. U yerda javob beradigan yechuvchi sizning yuklamangiz ishlatadigani, va boshqa hostdan boshqacha javob bu dizayndagi eng keng tarqalgan chalkashlik manbasidir.

Yetish imkoniyati avtorizatsiya emas

Yakuniy nuqtaga yetib kelgan so’rov hali ham vakolatli subyekt va amaldagi chelak ruxsatini talab qiladi. Yakuniy nuqta siyosati nuqta ruxsat beradigan narsani toraytirishi mumkin, chelak siyosati esa uni yana toraytirishi mumkin. Interfeysga yetish chaqiruvchi qaysi obyektlarni o’qiy olishi haqida hech narsa demaydi.

Ikki yo’nalishni ham sinang: mo’ljallangan chelakka qarshi bitta zararsiz vakolatli chaqiruv va siyosatdan tashqaridagi shaxs yoki resurs uchun rad etilishi kutilayotgan bitta chaqiruv. Yakuniy nuqta nomini, yechilgan manzilni va siyosat kontekstini natija bilan birga saqlang, keyingi odam uni qayta hosil qila olishi uchun. Siyosat turini nomlaydigan rad javobi bir soatlik taxminni tejaydi.

Nihoyat, tayyorlashdan oldin ikkala variantning narxini hisoblang. Interfeys yakuniy nuqtasi interfeys soati va gigabayt bo’yicha hisoblanadi, shlyuz yakuniy nuqtasi esa unday emas, va bu farq faqat VPC tomonidan kirish kerak bo’lgan ko’plab kam hajmli yuklamalar uchun masalani hal qiladi.