AWS Client VPN, nebo VPN na EC2: provozní příručka

Obě možnosti dají týmu VPN pro vzdálený přístup, takže zajímavá otázka není, která existuje, ale kterou dokážete provozovat. Rozdíl je v tom, kdo vlastní koncový bod ve 3 hodiny ráno a na jaké ovládací prvky dosáhnete, když se něco pokazí. Projděte pět kroků níže popořadě, protože každý může srovnání ukončit dřív. Právě vynechání kroku s inventurou vede k tomu, že týmy migrují dvakrát.

Krok 1: napište požadavek dřív než účet

Potřebujete pět faktů na jedné stránce: kdo se autentizuje a proti čemu, které klientské platformy musí fungovat, které privátní cíle jsou dostupné, jakou dostupnost jste slíbili a jak provoz skutečně vypadá. Bez toho se každé další srovnání zvrhne v hádku o seznam funkcí.

Buďte konkrétní u cílů. „Přístup k VPC“ obvykle znamená tři různé věci: CIDR VPC, propojenou síť a lokální rozsah za Transit Gateway. Spravovaný koncový bod dosáhne na všechny tři, ale každý potřebuje trasu a autorizační pravidlo a každý je samostatný řádek ve vašem požadavku.

Krok 2: vypište, co už běží

Než cokoli navrhnete, vypište existující koncové body a každý server hostovaný na EC2 včetně jeho bezpečnostních skupin. Tato volání jsou jen pro čtení a bezpečná ke spuštění z účtu s právy describe.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Čtěte výstup jako mapu toho, kam se klienti už dostanou. Chybějící autorizační pravidlo vysvětlí selhání, které vypadá jako problém s routováním, a koncový bod přidružený k jedné podsíti vysvětlí, proč výpadek zóny shodil celou službu.

Zapište si také bezpečnostní skupiny připojené k jakékoli vlastní instanci. Tato pravidla jsou součástí modelu přístupu a jsou první věcí, která tiše praskne, když někdo instanci znovu postaví ze šablony.

Krok 3: rozdělte odpovědnosti

Spravovaná služba vlastní flotilu koncových bodů, její záplatování a její dostupnost v rámci regionu. Vy vlastníte zápis identit, autorizační pravidla, síťové cesty za koncovým bodem, konfiguraci protokolování a rozhodnutí, kolik podsítí přidružit.

Vlastní hostování to obrací. Vlastníte hostovaný operační systém, démona VPN a jeho konfiguraci, certifikáty a klíče, zálohy, monitorování a obnovu. Bezpečnostní model EC2 klade bezpečnost hosta a aplikace na zákazníka a VPN server je host jako každý jiný.

Zapište rozdělení jako tabulku se jmény v pravém sloupci. Pokud se vedle obnovy certifikátů neobjeví žádné jméno, to je zjištění a je důležitější než rozdíl v hodinové ceně.

Krok 4: srovnávejte se zátěží, kterou umíte popsat

Cena sleduje tvar, ne velikost. U spravované možnosti počítejte hodiny přidružení koncových bodů, hodiny klientských připojení, přenos a služby identit a protokolování, které zapnete. U vlastního hostování počítejte výpočetní výkon, úložiště, síť, licence a inženýrský čas, který drží server záplatovaný. Dejte obě sady čísel do jednoho listu se stejným časovým horizontem. Tříleté srovnání, které ignoruje hodiny záplatování, vždy zvýhodní server, který už vlastníte.

Srovnání výkonu potřebují stejnou disciplínu. Jedno interaktivní sezení na ploše, jeden velký přenos a padesát souběžných malých požadavků zatěžují různé části cesty: procesor pro šifrování, síťové schopnosti instance, vlastní stack klienta a cíl. Testujte s reprezentativními klienty a stejným úkolem v obou návrzích.

Větší instance není důkaz, že přenos bude rychlejší, a jedno úspěšné sezení není plán kapacity. Jakékoli zděděné řeči o rodinách instancí berte jako hypotézu k otestování, ne jako pravidlo pro nákup.

Krok 5: přejděte s návratem, který jste už vyzkoušeli

Spusťte oba koncové body paralelně po určené období, nový klientský profil nejdřív rozdejte malé skupině a autorizační pravidla starého koncového bodu nechte nedotčená, dokud skupina nový nepoužije při skutečné práci. Návrat je přepnutí profilu, ne přestavba, takže rozhodněte teď, kde starý profil žije.

Ověřujte v tomto pořadí: autentizace projde, klient dostane očekávané trasy, autorizovaný cíl odpoví, neautorizovaný cíl selže a protokoly ukážou obě události. Když některý krok selže, zastavte se a opravte ten krok, místo abyste přešli k další skupině klientů. Zapište výsledek každé kontroly, protože přechod, který si pamatujete jen jako „fungovalo to“, se za měsíc nedá ladit.

Po přechodu naplánujte nudné kontroly: platnost certifikátů, počet přidružení, autorizační pravidla, která už neodpovídají skupině, a počet připojení proti vašemu očekávání. Průvodce správou Client VPN je referencí pro části koncového bodu, autentizace a routování, které jste nastavili.