الاتصال الخاص والهجين

بنى موضوع أساسيات VPC شبكةً وقرّر ما يجوز له دخولها. وهذا الموضوع يجيب سؤالاً آخر: كيف تخرج الحركة إلى وجهة مفيدة بلا مسار عام. وقد تكون تلك الوجهة خدمة من AWS مثل S3، أو VPC آخر في مؤسّستك، أو مركز بياناتك المحلي، أو مهندساً يعمل من بيته. ولكل واحدة منها خدمتها وملفّ تكلفتها وطريقتها الصامتة في الفشل.

ما الذي يغطّيه هذا الموضوع

• لماذا يصل subnet خاص إلى S3 عبر NAT gateway افتراضياً، وما تكلفة ذلك المسار
• نقاط نهاية gateway مقابل نقاط نهاية interface: أي الخدمات، وأي المتّصلين، وأي سعر، وأي ضوابط أمان تنطبق على كل نوع
• سياسات نقاط نهاية VPC، ولماذا تستطيع إنتاج AccessDenied لدور تسمح له IAM
• استضافة خدمتك أنت خلف AWS PrivateLink بـ Network Load Balancer وendpoint service
• الـ VPC peering من طرفه إلى طرفه، مع الحدود الثلاثة التي هي خصائص في الآلية: لا توجيه عبوري، ولا نطاقات CIDR متداخلة، ولا توجيه من حافّة إلى حافّة
• الـ Transit Gateway موجّهاً إقليمياً: المرفقات، وارتباط جداول التوجيه مقابل نشر المسارات، والتقسيم المعزول والتقسيم بخدمات مشتركة، وappliance mode
• تشريح Site-to-Site VPN، والنفقان، والتوجيه الثابت مقابل BGP، ومقياس TunnelState
• أين يغيّر AWS Direct Connect الجواب، وسبب حاجة الخط الخاص إلى VPN من أجل التشفير
• نقاط نهاية Client VPN: قواعد client CIDR، وأنواع المصادقة، وsplit-tunnel، وزوج المسار وقاعدة التخويل

لماذا هذا مهمّ

يسمّي المجال الخامس في الاختبار الاتصالَ الخاص مرّتين: مرّة تحت بنائه (مهارة 5.1.2، وتغطّي نقاط نهاية VPC وPrivateLink وpeering) ومرّة تحت إصلاحه (مهارة 5.3.4، عن مشكلات الاتصال الهجين والخاص). والأسئلة نادراً ما تسأل ما هي الخدمة. بل تصف عطلاً وتتوقّع منك معرفة أي آلية تستطيع إنتاجه.

ولهذا تهمّ الحدود هنا أكثر من التعريفات. فنقطة نهاية gateway لا تخدم متّصلاً من شبكة محلية، والـ peering لا يمرّر الحركة إلى VPC ثالث، وخط Direct Connect لا يحمل تشفيراً، ومسار Client VPN بلا قاعدة تخويل يُسقط الطرود. وكل واحدة من هذه قاعدة من جملة واحدة تستبعد خيارين أو ثلاثة من الأجوبة من النظرة الأولى، وكل واحدة تقابل عطلاً حقيقياً في الإنتاج استغرق تشخيصه من أحدهم يوماً كاملاً.