S3: điểm cuối cổng hoặc giao diện để truy cập từ mạng nội bộ

Hai loại điểm cuối S3 trông có thể thay thế nhau trong một buổi đánh giá thiết kế và hoạt động hoàn toàn khác khi khách hàng ở ngoài cơ sở. Điểm cuối cổng là tích hợp với bảng định tuyến bên trong VPC, nên yêu cầu từ VPN của cơ sở không bao giờ đến đó như một đích riêng tư. Điểm cuối giao diện đặt địa chỉ riêng trên các giao diện mạng, nơi một đường đi kết hợp thực sự có thể chạm tới. Mọi thứ tiếp theo phụ thuộc vào việc bạn đã chọn loại nào trong hai loại đó.

Quyết định theo lối vào mạng, không theo tên dịch vụ

Bắt đầu từ nơi lưu lượng phát sinh, vì đó là câu hỏi mà loại điểm cuối trả lời. Một khối lượng công việc trong bối cảnh VPC được hỗ trợ có thể dùng điểm cuối cổng và không bao giờ cần địa chỉ riêng của chính nó. Một khối lượng công việc tại cơ sở cần địa chỉ riêng mà nó có thể định tuyến tới, và đó là điều điểm cuối giao diện cung cấp. Nếu thiết kế trộn cả hai, cả hai loại điểm cuối có thể cùng tồn tại trong một VPC, và đó là cách bố trí bình thường chứ không phải trùng lặp.

Trộn chúng không phải là vấn đề. Giả định rằng loại này bao trùm loại kia mới là vấn đề.

Phân loại khách hàng trước khi chọn bất cứ thứ gì. Không gian làm việc bên trong VPC, container sau cổng NAT và ứng dụng tại văn phòng chi nhánh là ba nguồn khác nhau, và chỉ nguồn cuối cùng buộc phải dùng lối vào kết hợp. Ghi phân loại đó bên cạnh danh mục điểm cuối để người đánh giá tiếp theo thấy vì sao mỗi điểm cuối tồn tại.

Đường giao diện yêu cầu gì từ đầu đến cuối

Điểm cuối giao diện cấp khả năng tiếp cận tới địa chỉ riêng, và khả năng tiếp cận chỉ là một trong bốn yêu cầu. Mạng nội bộ cần tuyến tới các địa chỉ đó, phía VPC cần đường quay lại, nhóm bảo mật của điểm cuối phải chấp nhận dải nguồn, và mọi thiết bị kiểm tra ở giữa phải cho phép luồng. Một tuyến tới bất kỳ phiên bản nào trong VPC không chứng minh được điều nào trong bốn điều đó.

Làm việc từ đầu xa ngược trở lại. Xác nhận rằng các giao diện mạng của điểm cuối tồn tại trong các mạng con bạn mong đợi, sau đó xác nhận rằng nhóm bảo mật của nó chấp nhận dải nội bộ thực chứ không phải một chỗ giữ. Tiếp theo kiểm tra xem đường hầm hoặc tuyến có mang đường quay lại theo cùng hướng không. Kiểm tra là bước mọi người bỏ qua, vì một thiết bị trung gian cho phép kết nối vẫn có thể bỏ một phần thân phản hồi lớn hơn, và điều đó trông giống vấn đề thông lượng hơn là vấn đề chính sách.

Kiểm thử bằng thao tác được cấp phép nhỏ nhất hiện có thay vì tải xuống lớn. Lỗi xuất hiện sớm hơn và với ít lưu lượng phải giải thích hơn.

DNS theo nguồn truy vấn, không theo VPC

Một điểm cuối tồn tại không tự chuyển hướng bất cứ thứ gì. Ứng dụng nhận tên mà trình phân giải của nó trả về, và trình phân giải trả lời theo góc nhìn mà nó được phép thấy. Một phiên bản bên trong VPC và một máy tính xách tay tại văn phòng đặt hai câu hỏi khác nhau và cả hai đều có thể nhận câu trả lời đúng nhưng khác nhau. Xác minh cái này và kết luận về cái kia là cách một bài kiểm tra đạt trở thành một lần triển khai hỏng.

Đọc thiết lập DNS riêng của điểm cuối như một phần của thiết kế, không phải như một ô đánh dấu bật sau khi vận hành.

Nếu trình phân giải ở văn phòng phải thấy góc nhìn của VPC, đường đó phải được xây dựng có chủ đích, thường là qua một điểm cuối trình phân giải vào. Truy vấn từ bối cảnh của chính ứng dụng và ghi lại trình phân giải nào đã trả lời. Kết quả thu được trên một máy chủ pháo đài bên trong VPC chỉ mô tả góc nhìn của pháo đài và không gì khác.

Quyền tách biệt khỏi khả năng tiếp cận

Một điểm cuối tiếp cận được trả về lỗi cho các yêu cầu mà chủ thể không được phép thực hiện, và lỗi đó có nghĩa là hệ thống đang hoạt động đúng như thiết kế. Chính sách nhận dạng, chính sách nhóm và bất kỳ chính sách điểm cuối nào được đánh giá trong các lớp riêng của chúng. Truy cập mạng chưa bao giờ cấp quyền.

Chấp nhận thiết kế dựa trên hai kết quả: một lệnh gọi được cấp phép vô hại thành công, và một lần từ chối được mong đợi cho một nhận dạng hoặc nhóm bị loại trừ.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Ghi tên điểm cuối, đích đã phân giải và bối cảnh chính sách bên cạnh mỗi kết quả, vì một thay đổi DNS sau đó có thể vô hiệu hóa toàn bộ kết luận. So sánh chi phí hiện tại và gánh nặng vận hành của cả hai loại điểm cuối trước khi cung cấp bất cứ thứ gì. Điểm cuối giao diện mua một lối vào riêng tư kết hợp, nó không phải yêu cầu phổ quát, và đường cổng thường vẫn là câu trả lời tốt hơn cho khối lượng công việc bên trong VPC. Lựa chọn là theo từng khách hàng và vẫn có thể xem xét lại.