Як ацаніць рахунак AWS Client VPN з кансолі

Праходзім па ацэнцы AWS Client VPN: падлічыце асацыяцыі, вывядзіце гадзіны злучэння з журналаў сеансаў, затым дадайце выдаткі па-за платай за endpoint.

У мінулым месяцы я сабраў ацэнку Client VPN у табліцы, даслаў яе кліенту і потым двойчы перапрацаваў: спачатку таму, што памножыў асацыяцыі на падсеткі, а потым таму, што ўзяў колькасць людзей замест даных сеансаў. Версія, якая прайшла разгляд, трымаецца на двух пагадзінных лічыльніках і кароткім спісе пабочных выдаткаў. Яе можна аднавіць з кансолі і аднаго экспарту журнала, без калькулятара цэн.

Два лічыльнікі, і нічога іншага на endpoint

AWS бярэ плату за endpoint Client VPN па асацыяцыя-гадзінах і гадзінах злучэння. Асацыяцыя-гадзіны ідуць для кожнай мэтавай сеткі, далучанай да endpoint, круглыя суткі, незалежна ад таго, ці хтосьці падключаецца. Гадзіны злучэння ідуць для кожнага падключанага кліента, пакуль сеанс застаецца актыўным.

MeterWhat increments itWhat does not change it
Association-hoursEach associated subnet or Transit Gateway attachment, per hour, 24/7 while attachedNumber of users, traffic volume
Connection-hoursEach active client session, per hourHow many subnets that client can reach

З гэтай табліцы вынікаюць два наступствы. Endpoint, на якім нікога няма, усё роўна каштуе грошай, а адзін чалавек, які адначасова трымае ноўтбук і тэлефон, стварае два злучэнні.

Лічыце асацыяцыі ў кансолі, а не падсеткі ў VPC

Адкрыйце VPC, затым Client VPN endpoints, затым свой endpoint, затым укладку Associations. Кожны радок там — гэта далучэнне падсеткі, і колькасць радкоў — ваш множнік асацыяцый. Колькасць прыкладных падсетак за VPC да гэтага не мае дачынення.

Адной асацыяцыі дастаткова, каб дасягнуць аўтарызаваную сетку VPC, калі маршруты endpoint і правілы аўтарызацыі пакрываюць пункт прызначэння. Дадатковыя асацыяцыі купляюць устойлівасць да збою зоны даступнасці, а не дадатковы доступ. Такім чынам, схема з двума AZ падвойвае асацыяцыя-гадзіны, а прыкладны VPC з васьмю падсеткамі нічога не памнажае на восем.

Звярніце ўвагу на тып асацыяцыі, пакуль вы на гэтай старонцы. Асацыяцыя падсеткі VPC і прамая асацыяцыя Transit Gateway — розныя ўладкаванні з рознымі артыкуламі выдаткаў, таму не пераносьце адну мадэль у катыроўку іншай. І не правярайце колькасць, адключаючы рэчы: выдаленне апошняй мэтавай сеткі спыняе актыўныя сеансы і блакуе новыя злучэнні, пакуль нешта не будзе зноў далучана.

Выведзіце гадзіны злучэння з даных сеансаў

Колькасць людзей — няправільны ўваход, і яна няправільная ў абодва бакі. Дзесяць чалавек, якія трымаюць па тры прылады, — гэта трыццаць злучэнняў. Сто чалавек, якія падключаюцца па дваццаць хвілін у дзень, не даюць нават блізка ста адначасовых сеансаў.

Журналы злучэнняў Client VPN запісваюць падзеі падключэння і адключэння для кожнага кліента, а гэта менавіта тая пара, якая вам патрэбна. Экспартуйце рэпрэзентатыўны тыдзень, супастаўце падзеі і падсумуйце працягласці:

connection-hours = sum of (disconnect_time - connect_time) per session
sessions         = one per client connection, not per person

Затым выпраўце дзве звычкі. Сеансы, якія застаюцца падключанымі праз абед, на ноч або праз сон ноўтбука, які так і не разарваў тунель, усё роўна тарыфікуюцца, і іх не бачна ў падліку людзей. Між іншым, тарыфікацыя пагадзінная, таму плануйце дваццаціхвілінны сеанс як поўную гадзіну, а не як прапарцыйны разлік; калі рахунак прыйдзе ніжэйшы, лічыце гэта маржой, а не ўваходам для планавання.

Правядзіце разлік па тарыфах вашага рэгіёна

Тарыфы розныя ў кожным рэгіёне, таму вазьміце іх з старонкі цэн AWS VPN для рэгіёна, у які вы разгортваецеся, і ўстаўце іх у табліцу як уваходы. Выключна для ілюстрацыі: вазьміце тарыф асацыяцыі 0.10 долара за гадзіну і тарыф гадзіны злучэння 0.05 долара, затым ацаніце месяц у 30 дзён з двума асацыяцыямі ўвесь месяц і 100 чалавек, якія падключаюцца шэсць гадзін у 20 працоўных дзён:

association-hours = 2 * 24 * 30     = 1,440
association fee   = 1,440 * 0.10    = 144.00

connection-hours  = 100 * 6 * 20    = 12,000
connection fee    = 12,000 * 0.05   = 600.00

Client VPN subtotal                 = 744.00

Цяпер рухайце па адным уваходзе за раз і назірайце, які радок рэагуе. Падваенне асацыяцый дадае тут 144 долары; падваенне сярэдняй працягласці сеанса дадае 600 долараў. Гэтая прапорцыя звычайна вырашае спрэчку пра дызайн за вас: скараціце лішак, які вы не можаце апраўдаць, або вазьміцеся за прастойныя сеансы, у залежнасці ад таго, які лік большы. Запішыце рэгіён і дату тарыфаў побач з вынікам, бо катыроўку без іх нельга аднавіць праз шэсць тыдняў.

Дадайце выдаткі, якія прапускае сума

Плата за endpoint плаціць за сам endpoint. Усё, чаго датыкаецца трафік пасля гэтага, мае свой лічыльнік, і менавіта на гэтых радках развальваюцца аптымістычныя ацэнкі VPN.

  • Выход у інтэрнэт для трафіку, які выходзіць праз endpoint, тарыфікуецца за GB.
  • Публічныя адрасы IPv4, якія нясуць уласную пагадзінную плату незалежна ад VPN.
  • Прыём і захоўванне CloudWatch Logs для журналаў злучэнняў, якія вы толькі што экспартавалі.
  • Выклікі Lambda, калі вы запускаеце апрацоўшчык client-connect.
  • Directory Service або ваш пастаўшчык ідэнтычнасці SAML, калі менавіта так карыстальнікі аўтэнтыфікуюцца, плюс плата ACM Private CA, калі вы выпускаеце там сертыфікаты.
  • Гадзіны NAT Gateway і апрацоўка даных, а таксама гадзіны далучэння Transit Gateway і апрацоўка даных, калі шлях іх выкарыстоўвае.

Нішто з гэтага не маштабуецца з колькасцю асацыяцый, таму лік на карыстальніка, сабраны толькі з платы за endpoint, выглядае добра на паперы, а потым расце, калі з'яўляецца рэальны трафік. Змясціце іх у асобныя радкі, нават калі даводзіцца ацэньваць іх, каб чытач бачыў, якія часткі вымераны, а якія — здагадкі.

Праверце табліцу перад адпраўкай

Чатыры праверкі ловяць памылкі, якія я сапраўды зрабіў: колькасць асацыяцый дакладна адпавядае ўкладцы Associations, гадзіны злучэння ўзятыя з супастаўленых падзей журнала, а не з падліку людзей, рэгіён і дата тарыфаў запісаныя, і кожны пабочны выдатк мае свой радок. Калі хоць аднаго з чатырох няма, у вас здагадка з фарматаваннем.

Спачатку выгрузіце журнал. Гэта адзіны ўваход, які вы не зможаце аднавіць па памяці пазней, і ён таксама кажа, ці варта выправіць праблему прастойных сеансаў да прыходу першага рахунку.

Падобныя артыкулы