AWS Client VPN və ya EC2 üzərində VPN: əməliyyat təlimatı

Hər iki variant komandaya uzaqdan giriş üçün VPN verir, ona görə maraqlı sual hansının mövcud olması deyil, hansını idarə edə bildiyinizdir. Fərq gecə saat 3-də son nöqtəyə kimin sahib olması və nəsə pozulduqda hansı idarəetmə vasitələrinə çata bildiyinizdir. Aşağıdakı beş addımı ardıcıllıqla işləyin, çünki hər biri müqayisəni erkən bitirə bilər. İnventar addımını atlamaq komandaların iki dəfə miqrasiya etməsinin yoludur.

Addım 1: tələbi hesabdan əvvəl yazın

Bir səhifədə beş fakt lazımdır: kim və nəyə qarşı autentifikasiya edir, hansı müştəri platformaları işləməlidir, hansı özəl ünvanlar əlçatandır, hansı əlçatanlıq vəd etmisiniz və trafik əslində necə görünür. Bunlar olmadan hər sonrakı müqayisə funksiyalar siyahısı mübahisəsinə çevrilir.

Ünvanlar barədə konkret olun. «VPC-yə giriş» adətən üç fərqli şey deməkdir: VPC CIDR-i, peer bağlanmış şəbəkə və Transit Gateway arxasındakı yerli diapazon. İdarə olunan son nöqtə hər üçünə çata bilər, lakin hər biri üçün marşrut və avtorizasiya qaydası lazımdır və hər biri tələbinizdə ayrı sətirdir.

Addım 2: artıq işləyənləri sadalayın

Nəyisə layihələndirməzdən əvvəl mövcud son nöqtələri və təhlükəsizlik qrupları ilə birlikdə EC2-də yerləşən istənilən serveri sadalayın. Bu çağırışlar yalnız oxumaqdır və describe icazələri olan hesabdan təhlükəsiz işlədilir.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Nəticəni müştərilərin artıq çata bildiklərinin xəritəsi kimi oxuyun. Çatışmayan avtorizasiya qaydası marşrut problemi kimi görünən nasazlığı izah edir, bir alt şəbəkəyə bağlanmış son nöqtə isə zona nasazlığının niyə bütün xidməti söndürdüyünü izah edir.

Özünüzün yerləşdirdiyi hər instansiyaya bağlı təhlükəsizlik qruplarını da qeyd edin. Bu qaydalar giriş modelinin hissəsidir və kimsə instansiyanı şablondan yenidən qurduqda səssizcə pozulan ilk şey onlardır.

Addım 3: məsuliyyətləri bölün

İdarə olunan xidmət son nöqtə parkına, onun yenilənməsinə və region daxilində əlçatanlığına sahibdir. Siz kimlik qeydiyyatına, avtorizasiya qaydalarına, son nöqtənin arxasındakı şəbəkə yollarına, jurnal konfiqurasiyasına və neçə alt şəbəkənin birləşdiriləcəyi qərarına sahibsiniz.

Özünün yerləşdirmə bunu tərsinə çevirir. Siz qonaq əməliyyat sisteminə, VPN demonuna və onun konfiqurasiyasına, sertifikatlara və açarlara, ehtiyat nüsxələrə, monitorinqə və bərpaya sahibsiniz. EC2 təhlükəsizlik modeli qonaq və tətbiq təhlükəsizliyini müştərinin üzərinə qoyur, VPN serveri isə hər hansı digər qonaq kimidir.

Bölgünü sağ sütunda adlar olan cədvəl kimi yazın. Sertifikat yenilənməsinin yanında heç kimin adı yoxdursa, tapıntı budur və bu, saatlıq fərqdən daha vacibdir.

Addım 4: təsvir edə bildiyiniz iş yükü ilə müqayisə edin

Xərc ölçüdən deyil, formadan asılıdır. İdarə olunan variant üçün son nöqtə birləşmə saatlarını, müştəri bağlantı saatlarını, transferi və aktivləşdirdiyiniz kimlik və jurnal xidmətlərini sayın. Özünün yerləşdirmə üçün hesablama, yaddaş, şəbəkə, lisenziyalar və serveri yenilənmiş saxlayan mühəndis vaxtını sayın. Hər iki rəqəm dəstini eyni zaman üfüqü ilə bir cədvəldə yerləşdirin. Yeniləmə saatlarını nəzərə almayan üçillik müqayisə həmişə artıq sahib olduğunuz serverin xeyrinə olacaq.

Performans müqayisələri də eyni intizamı tələb edir. Bir interaktiv masaüstü sessiyası, bir böyük transfer və əlli eyni vaxtlı kiçik sorğu yolun müxtəlif hissələrini yükləyir: şifrələmə üçün prosessor, instansiyanın şəbəkə imkanı, müştərinin öz yığını və təyinat. Hər iki dizaynda eyni tapşırıqla və təmsilçi müştərilərlə sınaqdan keçirin.

Daha böyük instansiya transferin sürətli olacağına sübut deyil və bir uğurlu sessiya tutum planı deyil. Miras aldığınız instansiya ailəsi ilə bağlı hər hansı danışığı satınalma qaydası kimi deyil, sınanmalı fərziyyə kimi qəbul edin.

Addım 5: sınaqdan keçirdiyiniz geri qayıtma ilə keçid edin

Hər iki son nöqtəni müəyyən müddət paralel işlədin, yeni müştəri profilini əvvəlcə kiçik qrupa paylayın və köhnə son nöqtənin avtorizasiya qaydalarına toxunmayın, qrup onu real işdə istifadə edənə qədər. Geri qayıtma yenidən qurma deyil, profil dəyişməsidir, ona görə köhnə profilin harada yaşadığını indi qərarlaşdırın.

Bu ardıcıllıqla yoxlayın: autentifikasiya uğurludur, müştəri gözlənilən marşrutları alır, icazəli təyinat cavab verir, icazəsiz təyinat uğursuz olur, və jurnallar hər iki hadisəni göstərir. Hər hansı addım uğursuz olarsa, növbəti müştəri qrupuna keçmək yerinə dayanın və həmin addımı düzəldin. Hər yoxlamanın nəticəsini yazın, çünki yalnız «işlədi» kimi xatırlanan keçidi bir ay sonra ayırd etmək mümkün deyil.

Keçiddən sonra darıxdırıcı yoxlamaları planlaşdırın: sertifikatın bitmə tarixi, birləşmə sayı, artıq qrupa uyğun gəlməyən avtorizasiya qaydaları və gözləntinizə qarşı bağlantı sayı. Client VPN idarəetmə təlimatı konfiqurasiya etdiyiniz son nöqtə, autentifikasiya və marşrut hissələri üçün istinaddır.