AWS Client VPN neu VPN ar EC2: llawlyfr gweithredu

Mae’r ddau opsiwn yn rhoi VPN mynediad o bell i’ch tîm, felly’r cwestiwn diddorol yw nid pa un sy’n bodoli ond pa un y gallwch ei weithredu. Y gwahaniaeth yw pwy sy’n berchen ar y pwynt terfynol am 3 y bore a pha reolaethau y gallwch eu cyrraedd pan fydd rhywbeth yn torri. Ewch drwy’r pum cam isod yn eu trefn, oherwydd gall pob un ddod â’r gymhariaeth i ben yn gynnar. Sgipio’r cam rhestr yw’r ffordd y mae timau’n dod i fudo ddwywaith.

Cam 1: ysgrifennwch y gofyniad cyn y bil

Mae arnoch angen pum ffaith ar un dudalen: pwy sy’n dilysu a phwy neu beth, pa lwyfannau cleient sy’n rhaid gweithio, pa gyrchfannau preifat sy’n gyrraeddadwy, pa argaeledd a addawyd gennych, a sut mae’r traffig yn edrych mewn gwirionedd. Heb y rhain, mae pob cymhariaeth ddilynol yn troi’n ddadl am restr nodweddion.

Byddwch yn bendant am gyrchfannau. Mae «mynediad i’r VPC» fel arfer yn golygu tri pheth gwahanol: CIDR y VPC, rhwydwaith cymar, ac ystod ar y safle y tu ôl i Transit Gateway. Gall pwynt terfynol a reolir gyrraedd y tri, ond mae angen llwybr a rheol awdurdodi ar bob un, a llinell ar wahân ym mhob un yn eich gofyniad.

Cam 2: rhestrwch yr hyn sy’n rhedeg yn barod

Cyn dylunio unrhyw beth, rhestrwch y pwyntiau terfynol sy’n bodoli ac unrhyw weinydd a gynhelir ar EC2 gyda’i grwpiau diogelwch. Mae’r galwadau hyn yn ddarllen yn unig ac yn ddiogel i’w rhedeg o gyfrif sydd â chaniatâd describe.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Darllenwch yr allbwn fel map o’r hyn y gall cleientiaid ei gyrraedd yn barod. Mae rheol awdurdodi ar goll yn esbonio methiant sy’n edrych fel problem llwybro, ac mae pwynt terfynol sy’n gysylltiedig ag un is-rwydwaith yn esbonio pam y gwnaeth methiant parth ddymchwel y gwasanaeth cyfan.

Cofnodwch y grwpiau diogelwch sydd ynghlwm wrth unrhyw enghraifft hunangynhaliedig hefyd. Mae’r rheolau hynny’n rhan o’r model mynediad, a nhw yw’r peth cyntaf sy’n torri’n dawel pan fydd rhywun yn ailadeiladu enghraifft o dempled.

Cam 3: rhannwch y cyfrifoldebau

Mae’r gwasanaeth a reolir yn berchen ar y fflyd pwyntiau terfynol, ei chlytio a’i argaeledd o fewn y rhanbarth. Chi sy’n berchen ar gofrestru hunaniaeth, rheolau awdurdodi, y llwybrau rhwydwaith y tu ôl i’r pwynt terfynol, ffurfweddiad logio a’r penderfyniad am faint o is-rwydweithiau i’w cysylltu.

Mae hunangynhaliaeth yn gwrthdroi hynny. Chi sy’n berchen ar y system weithredu westeiwr, y daemon VPN a’i ffurfweddiad, tystysgrifau ac allweddi, copïau wrth gefn, monitro ac adfer. Mae model diogelwch EC2 yn rhoi diogelwch gwesteiwr a chymhwysiad ar y cwsmer, ac mae gweinydd VPN yn westeiwr fel unrhyw un arall.

Ysgrifennwch y rhaniad fel tabl gydag enwau yn y golofn dde. Os nad oes enw neb yn glanio wrth adnewyddu tystysgrifau, dyna’r canfyddiad, ac mae’n bwysicach na’r gwahaniaeth fesul awr.

Cam 4: cymharwch â llwyth gwaith y gallwch ei ddisgrifio

Mae cost yn dilyn siâp, nid maint. Ar gyfer yr opsiwn a reolir, cyfrifwch oriau cysylltu pwyntiau terfynol, oriau cysylltiad cleientiaid, trosglwyddo, a’r gwasanaethau hunaniaeth a logio a alluogwch. Ar gyfer hunangynhaliaeth, cyfrifwch gyfrifiant, storio, rhwydweithio, trwyddedu a’r amser peirianyddol sy’n cadw’r gweinydd wedi’i glytio. Rhowch y ddau set o rifau mewn un daflen â’r un gorwel amser. Bydd cymhariaeth tair blynedd sy’n anwybyddu oriau clytio bob amser o blaid y gweinydd sydd gennych yn barod.

Mae cymariaethau perfformiad angen yr un ddisgyblaeth. Mae un sesiwn bwrdd gwaith rhyngweithiol, un trosglwyddiad mawr a hanner cant o geisiadau bach cyfochrog yn pwyso ar wahanol rannau o’r llwybr: y CPU ar gyfer amgryptio, gallu rhwydwaith yr enghraifft, stac y cleient ei hun, a’r gyrchfan. Profwch gyda chleientiaid cynrychioliadol a’r un dasg ar y ddau ddyluniad.

Nid yw enghraifft fwy yn brawf y bydd trosglwyddiad yn gyflymach, ac nid yw un sesiwn lwyddiannus yn gynllun capasiti. Triniwch unrhyw lên gwerin am deuluoedd enghreifftiau a etifeddwch fel rhagdybiaeth i’w phrofi, nid fel rheol brynu.

Cam 5: trosglwyddwch gyda chwthdrol rydych wedi’i redeg

Rhedwch y ddau bwynt terfynol ochr yn ochr am gyfnod penodol, dosbarthwch y proffil cleient newydd i grŵp bach yn gyntaf, a chadwch reolau awdurdodi’r hen bwynt terfynol yn ddigyfnewid nes bod y grŵp wedi defnyddio’r newydd ar gyfer gwaith go iawn. Newid proffil yw chwthdrol, nid ailadeiladu, felly penderfynwch nawr ble mae’r hen broffil yn byw.

Gwiriwch yn y drefn hon: mae dilysu’n llwyddo, mae’r cleient yn cael y llwybrau disgwyliedig, mae cyrchfan awdurdodedig yn ateb ac mae cyrchfan heb awdurdod yn methu, ac mae’r logiau’n dangos y ddau ddigwyddiad. Os bydd unrhyw gam yn methu, stopiwch a thrwsiwch y cam hwnnw yn hytrach na symud ymlaen i’r grŵp cleientiaid nesaf. Ysgrifennwch ganlyniad pob gwiriad, oherwydd ni ellir dadfygio trosglwyddiad a gofir yn unig fel «fe weithiodd» fis yn ddiweddarach.

Ar ôl y trosglwyddiad, trefnwch y gwiriadau diflas: dod i ben tystysgrifau, cyfrif cysylltiadau, rheolau awdurdodi nad ydynt bellach yn cyfateb i grŵp, a’r cyfrif cysylltiadau yn erbyn eich disgwyliad. Canllaw gweinyddu Client VPN yw’r cyfeirnod ar gyfer y darnau pwynt terfynol, dilysu a llwybro a ffurfweddwyd gennych.