AWS Client VPN of 'n VPN op EC2: 'n bedryfshandleiding

Albei opsies gee jou span 'n VPN vir afstandtoegang, so die interessante vraag is nie watter een bestaan nie, maar watter een jy kan bedryf. Die verskil is wie om 3 vm. die eindpunt besit en watter kontroles jy kan bereik wanneer iets breek. Werk die vyf stappe hieronder in volgorde deur, want elkeen kan die vergelyking vroeg beëindig. Om die inventarisstap oor te slaan, is hoe spanne twee keer migreer.

Stap 1: skryf die vereiste voor die rekening

Jy het vyf feite op een bladsy nodig: wie authentiseer en teen wat, watter kliëntplatforms moet werk, watter private bestemmings bereikbaar is, watter beskikbaarheid jy belowe het, en hoe die verkeer werklik lyk. Sonder dit word elke latere vergelyking 'n argument oor 'n kenmerklys.

Wees konkreet oor bestemmings. “Toegang tot die VPC” beteken gewoonlik drie verskillende dinge: die VPC-CIDR, 'n peered netwerk en 'n on-premises reeks agter 'n Transit Gateway. 'n Bestuurde eindpunt kan al drie bereik, maar elkeen het 'n roete en 'n magtigingsreël nodig, en elkeen is 'n aparte reël in jou vereiste.

Stap 2: lys wat reeds loop

Voordat jy enigiets ontwerp, lys die bestaande eindpunte en enige bediener wat op EC2 gehost word, saam met sy sekuriteitsgroepe. Hierdie oproepe is net-lees en veilig om te hardloop vanaf 'n rekening met describe-regte.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Lees die uitset as 'n kaart van wat kliënte reeds kan bereik. 'n Ontbrekende magtigingsreël verduidelik 'n fout wat soos 'n roeteprobleem lyk, en 'n eindpunt wat aan een subnet gekoppel is, verduidelik waarom 'n sonefout die hele diens laat val het.

Teken ook die sekuriteitsgroepe aan wat aan enige self-gehoste instansie gekoppel is. Daardie reëls is deel van die toegangsmodel, en hulle is die eerste ding wat stilweg breek wanneer iemand 'n instansie uit 'n sjabloon herbou.

Stap 3: verdeel die verantwoordelikhede

Die bestuurde diens besit die eindpuntvloot, die pleisterwerk daarvan en die beskikbaarheid binne die streek. Jy besit identiteitsinskrywing, magtigingsreëls, die netwerkpaaie agter die eindpunt, die opstelling van logboeke en die besluit oor hoeveel subnette om te assosieer.

Self-hosting keer dit om. Jy besit die gasheerbedryfstelsel, die VPN-daemon en sy konfigurasie, sertifikate en sleutels, rugsteune, monitering en herstel. Die EC2-sekuriteitsmodel plaas gas- en toepassingsekuriteit by die kliënt, en 'n VPN-bediener is 'n gas soos enige ander.

Skryf die verdeling neer as 'n tabel met name in die regterkolom. As niemand se naam langs sertifikaathernuwing beland nie, is dit die bevinding, en dit maak meer saak as die uurlikse verskil.

Stap 4: vergelyk met 'n werklading wat jy kan beskryf

Koste volg vorm, nie grootte nie. Vir die bestuurde opsie, tel eindpuntassosiasie-ure, kliëntverbindingsure, oordrag en die identiteits- en logdienste wat jy aktiveer. Vir self-hosting, tel rekenkrag, stoor, netwerk, lisensies en die ingenieursure wat die bediener gepleister hou. Sit albei stelle syfers in een blad met dieselfde tydhorison. 'n Driejaar-vergelyking wat pleisterure ignoreer, sal altyd die bediener bevoordeel wat jy reeds besit.

Prestasievergelykings verg dieselfde dissipline. Een interaktiewe lessenaarsessie, een groot oordrag en vyftig gelyktydige klein versoeke belas verskillende dele van die pad: die verwerker vir enkripsie, die instansie se netwerkvermoë, die kliënt se eie stapel en die bestemming. Toets met verteenwoordigende kliënte en dieselfde taak op albei ontwerpe.

'n Groter instansie is nie bewys dat 'n oordrag vinniger sal wees nie, en een suksesvolle sessie is nie 'n kapasiteitsplan nie. Beskou enige oorlewering oor instansiefamilies wat jy oorneem as 'n hipotese om te toets, nie as 'n aankoopreël nie.

Stap 5: skakel oor met 'n terugrol wat jy al uitgevoer het

Laat albei eindpunte parallel loop vir 'n bepaalde tydperk, versprei die nuwe kliëntprofiel eers na 'n klein groep, en hou die ou eindpunt se magtigingsreëls ongeraak totdat die groep die nuwe een vir regte werk gebruik het. Terugrol is 'n profielskakeling, nie 'n herbou nie, so besluit nou waar die ou profiel woon.

Verifieer in hierdie volgorde: authentisering slaag, die kliënt ontvang die verwagte roetes, antwoord 'n gemagtigde bestemming en misluk 'n ongemagtigde bestemming, en logboeke wys albei gebeurtenisse. As enige stap misluk, stop en maak daardie stap reg eerder as om na die volgende kliëntgroep te gaan. Skryf die resultaat van elke kontrole neer, want 'n oorskakeling wat net as “dit het gewerk” onthou word, kan nie 'n maand later ontfout word nie.

Na die oorskakeling, beplan die vervelige kontroles: sertifikaatverval, assosiasietelling, magtigingsreëls wat nie meer by 'n groep pas nie, en die verbindingstelling teen jou verwagting. Die Gids vir die administrasie van Client VPN is die verwysing vir die eindpunt-, authentiserings- en roeteringdele wat jy opgestel het.