Hoe om 'n AWS Client VPN-rekening van die konsole af te skat

Ek het verlede maand 'n Client VPN-skatting in 'n sigblad gebou, dit aan 'n kliënt gestuur en toe twee keer hersien: een keer omdat ek assosiasies met subnette vermenigvuldig het, en een keer omdat ek koppe getel het in plaas van sessiedata. Die weergawe wat die hersiening oorleef het, rus op twee uurgemeters en 'n kort lys bykostes. Jy kan dit uit die konsole en een logboekuitvoer herbou, sonder 'n prysrekenaar.

Twee meters, en niks anders op die eindpunt nie

AWS faktureer 'n Client VPN-eindpunt op assosiasie-ure en verbindingsure. Assosiasie-ure tik vir elke doelnetwerk wat aan die eindpunt gekoppel is, om die klok, of iemand nou verbind of nie. Verbindingsure tik per verbonde kliënt, solank as wat daardie sessie oop bly.

Twee gevolge volg direk uit daardie tabel. 'n Eindpunt waar niemand op is nie kos steeds geld, en een persoon wat 'n skootrekenaar en 'n selfoon gelyktydig gebruik, lewer twee verbindings.

Tel assosiasies in die konsole, nie subnette in die VPC nie

Open VPC, dan Client VPN endpoints, dan jou eindpunt, dan die Associations-oortjie. Elke ry daar is 'n subnetkoppeling, en daardie rygetal is jou assosiasievermenigvuldiger. Die aantal toepassingsubnette agter die VPC het niks daarmee te doen nie.

Een assosiasie is genoeg om 'n gemagtigde VPC-netwerk te bereik sodra die eindpuntroetes en magtigingsreëls die bestemming dek. Ekstra assosiasies koop weerbaarheid teen Availability Zone-uitval, nie ekstra bereik nie. 'n Twee-AZ-ontwerp verdubbel dus assosiasie-ure, terwyl 'n agtsubnet-toepassings-VPC niks met agt vermenigvuldig nie.

Let op die assosiasietipe terwyl jy op daardie bladsy is. 'n VPC-subnet-assosiasie en 'n direkte Transit Gateway-assosiasie is verskillende reëlings met verskillende lynitems, so moenie een model in die ander se kwotasie dra nie. En moenie die getal toets deur dinge los te maak nie: die laaste doelnetwerk verwyder beëindig aktiewe sessies en blokkeer nuwe verbindings totdat iets weer geassosieer is.

Lei verbindingsure uit sessiedata af

Kopcount is die verkeerde inset, en dit is in beide rigtings verkeerd. Tien mense wat elkeen drie toestelle gekoppel hou, is dertig verbindings. Honderd mense wat elkeen twintig minute per dag verbind, lewer lank nie honderd gelyktydige sessies nie.

Client VPN-verbindingslogboeke teken verbind- en losmaakgebeurtenisse per kliënt aan, wat presies die paring is wat jy nodig het. Voer 'n verteenwoordigende week uit, pas die gebeure by mekaar en sommeer die duurs:

connection-hours = sum of (disconnect_time - connect_time) per session
sessions         = one per client connection, not per person

Korrigeer dan vir twee gewoontes. Sessies wat deur die middagete, oor die nag of deur 'n skootrekenaar-slaap gekoppel bly wat die tonnel nooit afgebreek het nie, word steeds gefaktureer, en dit is onsigbaar in 'n koptelling. Meting is ook per uur, so begroot 'n twintigminuutsessie as 'n volle uur eerder as om proporsionele fakturering te aanvaar; as die faktuur laer inkom, behandel dit as marge en nie as 'n beplanningsinset nie.

Doen die rekenwerk met jou streek se tariewe

Tariewe verskil per streek, so haal hulle uit die AWS VPN-prysblad vir die streek waarin jy ontplooi en plak hulle as insette in die sigblad. Slegs ter illustrasie: neem 'n assosiasietarief van $0.10 per uur en 'n verbindingsuurtarief van $0.05, en prys dan 'n maand van 30 dae met twee assosiasies wat die hele maand gehou word en 100 mense wat ses uur op 20 werksdae verbind:

association-hours = 2 * 24 * 30     = 1,440
association fee   = 1,440 * 0.10    = 144.00

connection-hours  = 100 * 6 * 20    = 12,000
connection fee    = 12,000 * 0.05   = 600.00

Client VPN subtotal                 = 744.00

Skuif nou een inset op 'n slag en kyk watter lyn reageer. Verdubbeling van die assosiasies voeg hier $144 by; verdubbeling van die gemiddelde sessielengte voeg $600 by. Daardie verhouding besleg gewoonlik die ontwerpdebat vir jou: sny oorbeheersing wat jy nie kan regverdig nie, of gaan na ledige sessies, afhangende van watter getal groter is. Skryf die streek en die tariefdatum langs die resultaat, want 'n kwotasie sonder hulle kan nie ses week later herproduseer word nie.

Voeg die koste by wat die subtotaal uitlaat

Die eindpuntfoo betaal vir die eindpunt. Alles wat die verkeer daarna aanraak het sy eie meter, en dit is waar optimistiese VPN-skatings uitmekaar val.

• Internetuitgang vir verkeer wat deur die eindpunt uitgaan, per GB gefaktureer.
• Openbare IPv4-adresse, wat hul eie uurtarief dra, onafhanklik van die VPN.
• CloudWatch Logs-opname en -berging vir die verbindingslogboeke wat jy pas uitgevoer het.
• Lambda-oproepe as jy 'n client-connect-hanteerder bestuur.
• Directory Service of jou SAML-identiteitsverskaffer, as dit is hoe gebruikers verifieer, plus ACM Private CA-koste as jy daar sertifikate uitreik.
• NAT Gateway-ure en dataprosessering, en Transit Gateway-koppelure plus dataprosessering, wanneer die pad hulle gebruik.

Nie een van hierdie skaal met die assosiasiegetal nie, en daarom lyk 'n syfer per gebruiker wat net uit eindpuntfoo's bestaan op papier fyn en groei dan wanneer werklike verkeer verskyn. Sit hulle op aparte rye selfs wanneer jy hulle moet skat, sodat die leser kan sien watter dele gemeet en watter geraam is.

Kontroleer die sigblad voordat jy dit stuur

Vier kontroles vang die foute wat ek werklik gemaak het: die assosiasiegetal pas presies by die Associations-oortjie, verbindingsure kom uit gepaardgaande loggebeurtenisse eerder as 'n koptelling, die streek en tariefdatum is neergeskryf, en elke bykoste het sy eie ry. As enige van die vier ontbreek, het jy 'n geraamde syfer met opmaak.

Haal eers die logboekuitvoer. Dit is die een inset wat jy later nie uit geheue kan herkonstrueer nie, en dit sê ook of die ledigesessieprobleem die moeite werd is om voor die eerste faktuur reg te maak.