AWS Client VPN o una VPN a EC2: un manual operatiu

Totes dues opcions donen al vostre equip una VPN d'accés remot, així que la pregunta interessant no és quina existeix, sinó quina podeu operar. La diferència és qui és el propietari del punt de connexió a les 3 de la matinada i a quins controls podeu arribar quan alguna cosa es trenca. Feu els cinc passos següents en ordre, perquè cadascun pot acabar la comparació abans d'hora. Saltar-se el pas d'inventari és com els equips acaben migrant dues vegades.

Pas 1: escriviu el requisit abans del compte

Necessiteu cinc fets en una pàgina: qui s'autentica i contra què, quines plataformes de client han de funcionar, quins destins privats són accessibles, quina disponibilitat vau prometre i com és realment el trànsit. Sense això, cada comparació posterior es converteix en una discussió sobre una llista de funcions.

Sigueu concrets sobre els destins. «Accés a la VPC» normalment vol dir tres coses diferents: el CIDR de la VPC, una xarxa emparellada i un rang local darrere d'un Transit Gateway. Un punt de connexió gestionat pot arribar a tots tres, però cadascun necessita una ruta i una regla d'autorització, i cadascun és una línia separada del vostre requisit.

Pas 2: enumereu què ja funciona

Abans de dissenyar res, llisteu els punts de connexió existents i qualsevol servidor allotjat a EC2 amb els seus grups de seguretat. Aquestes crides són només de lectura i segures d'executar des d'un compte amb permisos describe.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Llegiu la sortida com un mapa del que els clients ja poden abastar. Una regla d'autorització que falta explica un error que sembla un problema d'encaminament, i un punt de connexió associat a una sola subxarxa explica per què una fallada de zona va tombar tot el servei.

Anoteu també els grups de seguretat adjunts a qualsevol instància autoallotjada. Aquestes regles formen part del model d'accés i són el primer que es trenca en silenci quan algú reconstrueix una instància a partir d'una plantilla.

Pas 3: repartiu les responsabilitats

El servei gestionat és propietari de la flota de punts de connexió, del seu pedaç i de la seva disponibilitat dins de la regió. Vós sou propietari de l'alta d'identitats, les regles d'autorització, els camins de xarxa darrere del punt de connexió, la configuració dels registres i la decisió de quantes subxarxes associar.

L'autoallotjament ho inverteix. Vós sou propietari del sistema operatiu convidat, del dimoni VPN i de la seva configuració, dels certificats i les claus, de les còpies de seguretat, del monitoratge i de la recuperació. El model de seguretat d'EC2 posa la seguretat del convidat i de l'aplicació en el client, i un servidor VPN és un convidat com qualsevol altre.

Escriviu el repartiment com una taula amb noms a la columna de la dreta. Si cap nom no acaba al costat de la renovació de certificats, aquesta és la troballa, i importa més que la diferència per hora.

Pas 4: compareu amb una càrrega de treball que pugueu descriure

El cost segueix la forma, no la mida. Per a l'opció gestionada, compteu les hores d'associació de punts de connexió, les hores de connexió dels clients, el trànsit i els serveis d'identitat i de registre que activeu. Per a l'autoallotjament, compteu el còmput, l'emmagatzematge, la xarxa, les llicències i el temps d'enginyeria que manté el servidor pedaçat. Posa els dos conjunts de xifres en un sol full amb el mateix horitzó temporal. Una comparació de tres anys que ignora les hores de pedaç sempre afavorirà el servidor que ja teniu.

Les comparacions de rendiment necessiten la mateixa disciplina. Una sessió interactiva d'escriptori, una transferència gran i cinquanta sol·licituds petites concurrents sotmeten a pressió parts diferents del camí: la CPU per al xifratge, la capacitat de xarxa de la instància, la pila pròpia del client i el destí. Proveu amb clients representatius i la mateixa tasca en tots dos dissenys.

Una instància més gran no és prova que una transferència serà més ràpida, i una sessió reeixida no és un pla de capacitat. Tracteu qualsevol folklore sobre famílies d'instàncies que hereteu com una hipòtesi a provar, no com una regla de compra.

Pas 5: feu la migració amb una reversió que hàgiu executat

Executeu tots dos punts de connexió en paral·lel durant un període definit, distribuiu primer el perfil de client nou a un grup petit i no toqueu les regles d'autorització del punt de connexió antic fins que el grup hagi fet servir el nou en treball real. La reversió és un canvi de perfil, no una reconstrucció, així que decidiu ara on viu el perfil antic.

Verifiqueu en aquest ordre: l'autenticació té èxit, el client rep les rutes esperades, un destí autoritzat respon i un destí no autoritzat falla, i els registres mostren tots dos esdeveniments. Si falla qualsevol pas, atureu-vos i arregleu aquell pas en lloc de passar al grup de clients següent. Anoteu el resultat de cada comprovació, perquè una migració recordada només com «va funcionar» no es pot depurar un mes després.

Després de la migració, programeu les comprovacions avorrides: la caducitat dels certificats, el nombre d'associacions, les regles d'autorització que ja no coincideixen amb cap grup i el nombre de connexions respecte de la vostra expectativa. La Guia d'administració de Client VPN és la referència per a les peces de punt de connexió, autenticació i encaminament que heu configurat.