AWS Client VPN ці VPN на EC2: рабочы парадак дзеянняў

Абодва варыянты даюць камандзе VPN для аддаленага доступу, таму цікавае пытанне не ў тым, які з іх існуе, а ў тым, які вы здольныя эксплуатаваць. Розніца ў тым, хто валодае канцавой кропкай у 3 гадзіны ночы і якія сродкі кіравання вам даступныя, калі нешта ламаецца. Прайдзіце пяць крокаў ніжэй па парадку, бо кожны з іх можа завяршыць параўнанне датэрмінова. Менавіта пропуск кроку інвентарызацыі прыводзіць да таго, што каманды мігруюць двойчы.

Крок 1: напішыце патрабаванне да рахунку

Вам патрэбныя пяць фактаў на адной старонцы: хто аўтэнтыфікуецца і супраць чаго, якія кліенцкія платформы павінны працаваць, якія прыватныя пункты прызначэння дасягальныя, якую даступнасць вы абяцалі і як насамрэч выглядае трафік. Без гэтага кожнае наступнае параўнанне ператвараецца ў спрэчку пра спіс функцый.

Будзьце канкрэтнымі адносна пунктаў прызначэння. «Доступ да VPC» звычайна азначае тры розныя рэчы: CIDR VPC, сумежную сетку і лакальны дыяпазон за Transit Gateway. Кіраваная канцавая кропка можа дасягнуць усіх трох, але кожнаму патрэбны маршрут і правіла аўтарызацыі, і кожны — асобны радок у вашым патрабаванні.

Крок 2: пералічыце тое, што ўжо працуе

Перш чым што-небудзь праектаваць, пералічыце існуючыя канцавыя кропкі і любы сервер, размешчаны на EC2, разам з яго групамі бяспекі. Гэтыя выклікі толькі чытаюць і бяспечныя для запуску з уліковага запісу з дазволамі describe.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Чытайце вынік як карту таго, да чаго кліенты ўжо могуць дабрацца. Адсутнае правіла аўтарызацыі тлумачыць збой, які выглядае як праблема маршрутызацыі, а канцавая кропка, звязаная з адной падсеткай, тлумачыць, чаму збой зоны паклаў увесь сэрвіс.

Запішыце таксама групы бяспекі, далучаныя да любой уласнай інстанцыі. Гэтыя правілы — частка мадэлі доступу, і менавіта яны першымі ціха ламаюцца, калі нехта перабудоўвае інстанцыю з шаблона.

Крок 3: падзяліце адказнасць

Кіраваны сэрвіс валодае паркам канцавых кропак, яго абнаўленнямі і яго даступнасцю ў межах рэгіёна. Вы валодаеце рэгістрацыяй ідэнтычнасці, правіламі аўтарызацыі, сеткавымі шляхамі за канцавой кропкай, наладай журналаў і рашэннем пра колькасць падсетак для злучэння.

Уласнае размяшчэнне пераводзіць гэта ў адваротнае. Вы валодаеце гасцявой аперацыйнай сістэмай, дэманам VPN і яго канфігурацыяй, сертыфікатамі і ключамі, рэзервовымі копіямі, маніторынгам і аднаўленнем. Мадэль бяспекі EC2 ускладае бяспеку гасця і праграмы на кліента, а VPN-сервер — такі ж госць, як любы іншы.

Запішыце падзел як табліцу з імёнамі ў правым слупку. Калі побач з абнаўленнем сертыфікатаў не апынецца нічыё імя, гэта і ёсць выснова, і яна важнейшая за розніцу ў цане за гадзіну.

Крок 4: параўноўвайце з працоўнай нагрузкай, якую можаце апісаць

Кошт ідзе за формай, а не за памерам. Для кіраванага варыянта палічыце гадзіны злучэння канцавых кропак, гадзіны падключэнняў кліентаў, перадачу і ўключаныя вамі сэрвісы ідэнтычнасці і журналаў. Для ўласнага размяшчэння палічыце вылічальныя рэсурсы, сховішча, сетку, ліцэнзіі і інжынерны час, які трымае сервер абноўленым. Змясціце абодва наборы лікаў у адну табліцу з адзіным часавым гарызонтам. Трохгадовае параўнанне, якое ігнаруе гадзіны абнаўленняў, заўсёды будзе на карысць сервера, якім вы ўжо валодаеце.

Параўнанні прадукцыйнасці патрабуюць той жа дысцыпліны. Адна інтэрактыўная сесія працоўнага стала, адна вялікая перадача і пяцьдзясят адначасовых дробных запытаў нагружаюць розныя часткі шляху: працэсар для шыфравання, сеткавыя магчымасці інстанцыі, уласны стек кліента і пункт прызначэння. Тэстуйце з прадстаўнічымі кліентамі і аднолькавай задачай у абодвух дызайнах.

Большая інстанцыя не доказ таго, што перадача будзе хутчэйшай, а адна паспяховая сесія — не план па магутнасці. Любыя ўспадкаваныя байкі пра сямействы інстанцый успрымайце як гіпотэзу для праверкі, а не як правіла закупкі.

Крок 5: пераходзьце з адкатам, які вы ўжо праверылі

Запусціце абедзве канцавыя кропкі паралельна на вызначаны перыяд, спачатку раздайце новы профіль кліента невялікай групе і не чапайце правілы аўтарызацыі старой канцавой кропкі, пакуль група не выкарыстае новую ў рэальнай працы. Адкат — гэта змена профілю, а не перабудова, таму вырашыце зараз, дзе жыве стары профіль.

Правярайце ў такім парадку: аўтэнтыфікацыя паспяховая, кліент атрымлівае чаканыя маршруты, аўтарызаваны пункт прызначэння адказвае, неаўтарызаваны церпіць няўдачу, і журналы паказваюць абодва падзеі. Калі нейкі крок не ўдаўся, спыніцеся і выпраўце менавіта гэты крок, замест таго каб пераходзіць да наступнай групы кліентаў. Запішыце вынік кожнай праверкі, бо пераход, які памятаюць толькі як «спрацавала», немагчыма адладзіць праз месяц.

Пасля пераходу заплануйце нудныя праверкі: тэрмін дзеяння сертыфіката, колькасць злучэнняў, правілы аўтарызацыі, якія больш не адпавядаюць групе, і колькасць падключэнняў супраць вашых чаканняў. Кіраўніцтва па адміністраванні Client VPN — гэта даведка для частак канцавой кропкі, аўтэнтыфікацыі і маршрутызацыі, якія вы наладзілі.