AWS Client VPN ili VPN na EC2: operativni priručnik

Obje opcije daju vašem timu VPN za udaljeni pristup, pa zanimljivo pitanje nije koja postoji, nego koju možete održavati. Razlika je ko posjeduje krajnju tačku u 3 sata ujutro i kojim kontrolama možete pristupiti kada nešto pukne. Prođite kroz pet koraka ispod redom, jer svaki može završiti poređenje ranije. Preskakanje koraka s inventarom je način na koji timovi završe s dvije migracije.

Korak 1: napišite zahtjev prije računa

Potrebno vam je pet činjenica na jednoj stranici: ko se autentifikuje i prema čemu, koje klijentske platforme moraju raditi, koje privatne destinacije su dostupne, kakvu dostupnost ste obećali i kako promet zapravo izgleda. Bez toga se svako kasnije poređenje pretvara u raspravu o listi funkcija.

Budite konkretni u vezi s destinacijama. «Pristup VPC-u» obično znači tri različite stvari: VPC CIDR, povezanu mrežu i lokalni raspon iza Transit Gatewaya. Upravljana krajnja tačka može dosegnuti sve tri, ali svaka traži rutu i pravilo autorizacije, i svaka je poseban red u vašem zahtjevu.

Korak 2: popišite šta već radi

Prije nego što bilo šta dizajnirate, popišite postojeće krajnje tačke i svaki server hostovan na EC2 zajedno s njegovim sigurnosnim grupama. Ovi pozivi su samo za čitanje i sigurni za izvršavanje s računa koji ima describe dozvole.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Čitajte izlaz kao mapu onoga do čega klijenti već mogu doći. Pravilo autorizacije koje nedostaje objašnjava kvar koji izgleda kao problem s rutiranjem, a krajnja tačka povezana s jednom podmrežom objašnjava zašto je kvar zone oborio cijelu uslugu.

Zabilježite i sigurnosne grupe priključene na svaku samostalno hostovanu instancu. Ta pravila su dio modela pristupa i prva stvar koja tiho pukne kada neko ponovo izgradi instancu iz šablona.

Korak 3: podijelite odgovornosti

Upravljana usluga posjeduje flotu krajnjih tačaka, njeno zakrpavanje i njenu dostupnost unutar regije. Vi posjedujete upis identiteta, pravila autorizacije, mrežne putanje iza krajnje tačke, konfiguraciju zapisnika i odluku o tome koliko podmreža povezati.

Samostalno hostovanje to obrće. Vi posjedujete gostujući operativni sistem, VPN demon i njegovu konfiguraciju, certifikate i ključeve, sigurnosne kopije, nadzor i oporavak. EC2 sigurnosni model stavlja sigurnost gosta i aplikacije na korisnika, a VPN server je gost kao i svaki drugi.

Zapišite podjelu kao tabelu s imenima u desnoj koloni. Ako se ničije ime ne nađe pored obnove certifikata, to je nalaz i važniji je od razlike u cijeni po satu.

Korak 4: uporedite s radnim opterećenjem koje možete opisati

Trošak prati oblik, ne veličinu. Za upravljanu opciju brojite sate povezivanja krajnjih tačaka, sate klijentskih veza, prenos i usluge identiteta i zapisnika koje uključite. Za samostalno hostovanje brojite računanje, pohranu, mrežu, licence i inženjersko vrijeme koje održava server zakrpanim. Stavite oba skupa brojeva u jedan list s istim vremenskim horizontom. Trogodišnje poređenje koje zanemaruje sate zakrpavanja uvijek će favorizovati server koji već posjedujete.

Poređenja performansi traže istu disciplinu. Jedna interaktivna sesija radne površine, jedan veliki prenos i pedeset istovremenih malih zahtjeva opterećuju različite dijelove putanje: procesor za šifrovanje, mrežne mogućnosti instance, vlastiti stek klijenta i destinaciju. Testirajte s reprezentativnim klijentima i istim zadatkom na oba dizajna.

Veća instanca nije dokaz da će prenos biti brži, a jedna uspješna sesija nije plan kapaciteta. Svako naslijeđeno pričanje o porodicama instanci tretirajte kao hipotezu za testiranje, a ne kao pravilo pri kupovini.

Korak 5: pređite s vraćanjem koje ste već izveli

Pokrenite obje krajnje tačke paralelno na određeni period, prvo podijelite novi klijentski profil maloj grupi i ne dirajte pravila autorizacije stare krajnje tačke dok grupa ne bude koristila novu za stvarni rad. Vraćanje je promjena profila, ne ponovna izgradnja, pa odlučite sada gdje stari profil živi.

Provjerite ovim redom: autentifikacija uspijeva, klijent dobija očekivane rute, autorizovana destinacija odgovara, neautorizovana destinacija ne uspijeva, i zapisnici pokazuju oba događaja. Ako bilo koji korak ne uspije, zaustavite se i popravite taj korak umjesto da pređete na sljedeću grupu klijenata. Zapišite rezultat svake provjere, jer prelazak koji se pamti samo kao «radilo je» ne može se otkloniti mjesec dana kasnije.

Nakon prelaska zakažite dosadne provjere: istek certifikata, broj povezivanja, pravila autorizacije koja više ne odgovaraju grupi i broj veza prema vašem očekivanju. Vodič za administraciju Client VPN-a je referenca za dijelove krajnje tačke, autentifikacije i rutiranja koje ste konfigurisali.