Como faço para verificar se meu tráfego do Amazon S3 passa por um endpoint de gateway da Amazon VPC ou por um endpoint de interface da Amazon VPC?

Resolução

Verificar o fluxo de tráfego em um endpoint da VPC de gateway

Para verificar o fluxo de tráfego em um endpoint da VPC de gateway, use um traceroute baseado em TCP ou configure o registro em log de acesso ao servidor do Amazon S3.

Usar um traceroute baseado em TCP

Observação: nos comandos a seguir, substitua example-region-code pela sua região da AWS.

Execute os seguintes comandos:

Para HTTP

sudo traceroute -T -p 80 s3.example-region-code.amazonaws.com

Para HTTPS

sudo traceroute -T -p 443 s3.example-region-code.amazonaws.com

Exemplo de saída para fluxo de tráfego sem um endpoint de gateway:

traceroute to s3.us-east-1.amazonaws.com (16.182.42.160), 30 hops max, 60 byte packets
 1  * * *
 2  240.4.88.37 (240.4.88.37)  0.645 ms 240.4.88.43 (240.4.88.43)  0.529 ms 240.4.88.36 (240.4.88.36)  0.521 ms
 3  240.4.88.49 (240.4.88.49)  0.513 ms 240.4.88.48 (240.4.88.48)  0.505 ms 240.4.88.51 (240.4.88.51)  0.496 ms
 4  240.4.88.90 (240.4.88.90)  0.488 ms 240.4.88.85 (240.4.88.85)  0.588 ms 240.4.88.92 (240.4.88.92)  0.580 ms
 5  * * *
 6  s3-1.amazonaws.com (16.182.42.160)  0.504 ms  0.444 ms  0.675 ms

Observação: o fluxo de tráfego pela Internet tem resultados de traceroute semelhantes aos do fluxo de tráfego sem um endpoint de gateway.

Exemplo de saída para fluxo de tráfego com um endpoint de gateway:

traceroute to s3.us-east-1.amazonaws.com (52.217.224.112), 30 hops max, 60 byte packets
 1  * * *
 2  * * *
 3  * * *
 4  * * *
 5  * * *
 6  s3-1.amazonaws.com (52.217.224.112)  0.610 ms  0.692 ms  0.640 ms

Observação: para saídas de traceroute que têm um endpoint de gateway, somente o último salto é visível. Os resultados do traceroute são semelhantes para as portas 80 e 443.

Configurar o registro em log de acesso ao servidor do Amazon S3

Para identificar a origem da solicitação, ative o registro em log de acesso ao servidor do Amazon S3.

Verificar o fluxo de tráfego em um endpoint da VPC de interface

Para confirmar o fluxo de tráfego pelo endpoint do Amazon S3, verifique o endereço IP do recurso de origem que se conecta ao Amazon S3. Quando você configura um endpoint de interface da Amazon VPC, a AWS implanta uma interface de rede elástica com um endereço IP privado na sub-rede. Essa implantação permite a comunicação com buckets do Amazon S3 a partir de recursos dentro da Amazon VPC e recursos on-premises que se conectam à Amazon VPC por meio do AWS Direct Connect ou da AWS Site-to-Site VPN. Além disso, permite a comunicação com recursos em outras Amazon VPCs quando você usa padrões centralizados de arquitetura de endpoint da Amazon VPC.

Verifique se você ativou o DNS privado para o endpoint do S3. Se você ativar o DNS privado, os endpoints do S3 serão resolvidos para os endereços IP do endpoint privado.

Também é possível ativar o DNS privado somente para o endpoint de entrada. Se você ativar essa opção, as consultas de DNS para o Amazon S3 que se originam on-premises serão resolvidas para os endereços IP privados dos endpoints de interface do S3. As consultas de DNS do Amazon S3 que se originam na VPC continuam usando o endpoint da Amazon VPC de gateway e são resolvidas para endereços IP públicos do Amazon S3.

Observação: quando você seleciona ativar nome DNS para endpoints da interface do S3, por padrão, a AWS ativa a opção Habilitar DNS privado somente para endpoints de entrada.

Use as métricas ActiveConnections e BytesProcessed do Amazon CloudWatch para monitorar o uso do endpoint da Amazon VPC. Para obter mais informações, consulte Endpoint metrics and dimensions (Métricas e dimensões de endpoint).

Informações relacionadas

Como faço para solucionar problemas de conectividade ao usar endpoints da VPC de interface para me conectar ao bucket do Amazon S3?

Como solucionar problemas de conectividade de endpoints de gateway da Amazon VPC?

Acessar um AWS service (Serviço da AWS) usando um endpoint da VPC de interface

Choosing Your VPC Endpoint Strategy for Amazon S3 (Como escolher sua estratégia de endpoint da VPC para o Amazon S3)