AWS Client VPN أم VPN على EC2: دليل تشغيل عملي

كلا الخيارين يمنح فريقك شبكة VPN للوصول عن بُعد، لذا السؤال المهم ليس أيّهما موجود، بل أيّهما تستطيع تشغيله. الفرق هو مَن يملك نقطة النهاية في الساعة 3 صباحًا، وما الضوابط التي تستطيع الوصول إليها عند حدوث عطل. نفّذ الخطوات الخمس أدناه بالترتيب، لأن كل خطوة قد تُنهي المقارنة مبكرًا. تجاوز خطوة الجرد هو الطريق الذي يجعل الفرق تهاجر مرتين.

الخطوة 1: اكتب المتطلب قبل الفاتورة

تحتاج إلى خمس حقائق في صفحة واحدة: مَن يوثّق الهوية وبأي شيء، وأي منصات عملاء يجب أن تعمل، وأي وجهات خاصة يجب أن تكون قابلة للوصول، وما مستوى التوافر الذي وعدت به، وكيف تبدو حركة المرور فعليًا. بدون ذلك تتحول كل مقارنة لاحقة إلى جدال حول قائمة ميزات.

كن محددًا بشأن الوجهات. عبارة «الوصول إلى VPC» تعني عادة ثلاثة أشياء مختلفة: نطاق CIDR الخاص بـ VPC، وشبكة مقترنة، ونطاق محلي خلف Transit Gateway. تستطيع نقطة نهاية مُدارة الوصول إلى الثلاثة، لكن كل واحد منها يحتاج مسارًا وقاعدة تخويل، وكل واحد سطر منفصل في متطلبك.

الخطوة 2: أحصِ ما يعمل بالفعل

قبل تصميم أي شيء، اسرد نقاط النهاية القائمة وأي خادم مستضاف على EC2 مع مجموعات الأمان الخاصة به. هذه الاستدعاءات للقراءة فقط وآمنة التنفيذ من حساب يملك أذونات describe.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

اقرأ المخرجات كخريطة لما يمكن للعملاء الوصول إليه بالفعل. قاعدة تخويل مفقودة تفسّر عطلًا يبدو كمشكلة توجيه، ونقطة نهاية مرتبطة بشبكة فرعية واحدة تفسّر لماذا أدى عطل منطقة توافر إلى إسقاط الخدمة كلها.

سجّل أيضًا مجموعات الأمان المرتبطة بأي نسخة مستضافة ذاتيًا. هذه القواعد جزء من نموذج الوصول، وهي أول ما ينكسر بصمت عندما يعيد أحدهم بناء نسخة من قالب.

الخطوة 3: اقسم المسؤوليات

الخدمة المُدارة تملك أسطول نقاط النهاية وتحديثاته وتوافره داخل المنطقة. أنت تملك تسجيل الهويات وقواعد التخويل ومسارات الشبكة خلف نقطة النهاية وإعداد السجلات وقرار عدد الشبكات الفرعية التي تُقرن بها.

الاستضافة الذاتية تعكس ذلك. أنت تملك نظام تشغيل الضيف وخدمة VPN وإعداداتها والشهادات والمفاتيح والنسخ الاحتياطي والمراقبة والاستعادة. نموذج أمان EC2 يضع أمان الضيف والتطبيق على العميل، وخادم VPN ضيف كأي ضيف آخر.

اكتب التقسيم في جدول مع أسماء في العمود الأيمن. إذا لم يظهر اسم أحدهم بجانب تجديد الشهادات، فهذه هي النتيجة، وهي أهم من فرق السعر بالساعة.

الخطوة 4: قارن مقابل حمل عمل تستطيع وصفه

التكلفة تتبع الشكل لا الحجم. للخيار المُدار، احسب ساعات اقتران نقاط النهاية وساعات اتصال العملاء والنقل وخدمات الهوية والسجلات التي تُفعّلها. للاستضافة الذاتية، احسب الحوسبة والتخزين والشبكات والتراخيص ووقت الهندسة الذي يُبقي الخادم محدّثًا. ضع المجموعتين من الأرقام في ورقة واحدة بأفق زمني واحد. مقارنة لثلاث سنوات تتجاهل ساعات التحديث سترجّح دائمًا الخادم الذي تملكه بالفعل.

مقارنات الأداء تحتاج الانضباط نفسه. جلسة سطح مكتب تفاعلية واحدة ونقل كبير واحد وخمسون طلبًا صغيرًا متزامنًا تضغط أجزاء مختلفة من المسار: المعالج للتشفير، وقدرة الشبكة في النسخة، وحزمة العميل نفسها، والوجهة. اختبر بعملاء ممثلين وبالمهمة نفسها على التصميمين.

نسخة أكبر ليست دليلًا على أن النقل سيكون أسرع، وجلسة ناجحة واحدة ليست خطة سعة. اعتبر أي كلام موروث عن عائلات النسخ فرضية للاختبار، لا قاعدة شراء.

الخطوة 5: انتقل مع خطة عودة جرّبتها

شغّل نقطتي النهاية بالتوازي لمدة محددة، ووزّع ملف تعريف العميل الجديد على مجموعة صغيرة أولًا، وأبقِ قواعد تخويل نقطة النهاية القديمة كما هي حتى تستخدم المجموعة الجديدة في عمل حقيقي. العودة هي تبديل ملف تعريف، لا إعادة بناء، فحدّد الآن أين يعيش الملف القديم.

تحقّق بهذا الترتيب: نجاح المصادقة، واستلام العميل للمسارات المتوقعة، واستجابة وجهة مخوّلة وفشل وجهة غير مخوّلة، وظهور الحدثين في السجلات. إذا فشلت أي خطوة، توقّف وأصلح تلك الخطوة بدلًا من الانتقال إلى مجموعة العملاء التالية. اكتب نتيجة كل فحص، لأن عملية انتقال تُذكر فقط بنجاحها لا يمكن تشخيصها بعد شهر.

بعد الانتقال، جدول الفحوصات المملة: انتهاء صلاحية الشهادات، وعدد الاقترانات، وقواعد التخويل التي لم تعد تطابق مجموعة، وعدد الاتصالات مقابل توقعك. دليل إدارة Client VPN هو المرجع لأجزاء نقطة النهاية والمصادقة والتوجيه التي أعددتها.