AWS Client VPN ή VPN σε EC2: ένα εγχειρίδιο λειτουργίας

Και οι δύο επιλογές δίνουν στην ομάδα σας VPN απομακρυσμένης πρόσβασης, άρα το ενδιαφέρον ερώτημα δεν είναι ποια υπάρχει αλλά ποια μπορείτε να λειτουργήσετε. Η διαφορά είναι ποιος κατέχει το τελικό σημείο στις 3 τα ξημερώματα και σε ποιους ελέγχους φτάνετε όταν κάτι χαλάσει. Ακολουθήστε τα πέντε βήματα παρακάτω με τη σειρά, γιατί το καθένα μπορεί να τελειώσει τη σύγκριση νωρίς. Το να παραλείψετε το βήμα της απογραφής είναι ο τρόπος με τον οποίο οι ομάδες καταλήγουν να μεταναστεύουν δύο φορές.

Βήμα 1: γράψτε την απαίτηση πριν τον λογαριασμό

Χρειάζεστε πέντε γεγονότα σε μία σελίδα: ποιος αυθεντικοποιείται και ως προς τι, ποιες πλατφόρμες πελάτη πρέπει να δουλεύουν, ποιοι ιδιωτικοί προορισμοί είναι προσβάσιμοι, ποια διαθεσιμότητα υποσχεθήκατε και πώς μοιάζει στην πραγματικότητα η κίνηση. Χωρίς αυτά, κάθε μεταγενέστερη σύγκριση γίνεται καβγάς για μια λίστα χαρακτηριστικών.

Να είστε συγκεκριμένοι για τους προορισμούς. Η «πρόσβαση στο VPC» συνήθως σημαίνει τρία διαφορετικά πράγματα: το CIDR του VPC, ένα δικτυωμένο δίκτυο και ένα εύρος on-premises πίσω από ένα Transit Gateway. Ένα διαχειριζόμενο τελικό σημείο φτάνει και στα τρία, αλλά το καθένα χρειάζεται διαδρομή και κανόνα εξουσιοδότησης, και το καθένα είναι ξεχωριστή γραμμή στην απαίτησή σας.

Βήμα 2: καταγράψτε τι ήδη τρέχει

Πριν σχεδιάσετε οτιδήποτε, καταγράψτε τα υπάρχοντα τελικά σημεία και κάθε διακομιστή που φιλοξενείται σε EC2 μαζί με τις ομάδες ασφαλείας του. Αυτές οι κλήσεις είναι μόνο ανάγνωσης και ασφαλείς από λογαριασμό με δικαιώματα describe.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Διαβάστε την έξοδο ως χάρτη του τι μπορούν ήδη να φτάσουν οι πελάτες. Ένας κανόνας εξουσιοδότησης που λείπει εξηγεί μια αποτυχία που μοιάζει με πρόβλημα δρομολόγησης, και ένα τελικό σημείο συνδεδεμένο με ένα μόνο υποδίκτυο εξηγεί γιατί μια αστοχία ζώνης έριξε όλη την υπηρεσία.

Καταγράψτε επίσης τις ομάδες ασφαλείας που συνδέονται με οποιοδήποτε αυτο-φιλοξενούμενο στιγμιότυπο. Αυτοί οι κανόνες είναι μέρος του μοντέλου πρόσβασης και είναι το πρώτο πράγμα που σπάει σιωπηλά όταν κάποιος ξαναχτίζει ένα στιγμιότυπο από πρότυπο.

Βήμα 3: μοιράστε τις ευθύνες

Η διαχειριζόμενη υπηρεσία κατέχει τον στόλο τελικών σημείων, την ενημέρωσή του και τη διαθεσιμότητά του εντός της περιοχής. Εσείς κατέχετε την εγγραφή ταυτοτήτων, τους κανόνες εξουσιοδότησης, τις διαδρομές δικτύου πίσω από το τελικό σημείο, τη διαμόρφωση καταγραφής και την απόφαση για το πόσα υποδίκτυα θα συσχετιστούν.

Η αυτο-φιλοξενία το αντιστρέφει. Εσείς κατέχετε το λειτουργικό σύστημα φιλοξενουμένου, τον δαίμονα VPN και τη διαμόρφωσή του, τα πιστοποιητικά και τα κλειδιά, τα αντίγραφα ασφαλείας, την παρακολούθηση και την ανάκτηση. Το μοντέλο ασφαλείας του EC2 βάζει την ασφάλεια φιλοξενουμένου και εφαρμογής στον πελάτη, και ένας διακομιστής VPN είναι φιλοξενούμενος όπως οποιοσδήποτε άλλος.

Γράψτε τον διαχωρισμό ως πίνακα με ονόματα στη δεξιά στήλη. Αν δεν βρεθεί κανένα όνομα δίπλα στην ανανέωση πιστοποιητικών, αυτό είναι το εύρημα και μετράει περισσότερο από τη διαφορά ανά ώρα.

Βήμα 4: συγκρίνετε με φόρτο εργασίας που μπορείτε να περιγράψετε

Το κόστος ακολουθεί το σχήμα, όχι το μέγεθος. Για τη διαχειριζόμενη επιλογή, μετρήστε ώρες συσχέτισης τελικών σημείων, ώρες συνδέσεων πελατών, μεταφορά και τις υπηρεσίες ταυτότητας και καταγραφής που ενεργοποιείτε. Για την αυτο-φιλοξενία, μετρήστε υπολογισμό, αποθήκευση, δίκτυο, άδειες και τον χρόνο μηχανικών που κρατά τον διακομιστή ενημερωμένο. Βάλτε και τα δύο σύνολα αριθμών σε ένα φύλλο με τον ίδιο χρονικό ορίζοντα. Μια τριετής σύγκριση που αγνοεί τις ώρες ενημέρωσης θα ευνοεί πάντα τον διακομιστή που ήδη έχετε.

Οι συγκρίσεις απόδοσης θέλουν την ίδια πειθαρχία. Μία διαδραστική συνεδρία επιφάνειας εργασίας, μία μεγάλη μεταφορά και πενήντα ταυτόχρονα μικρά αιτήματα πιέζουν διαφορετικά μέρη της διαδρομής: τον επεξεργαστή για κρυπτογράφηση, την ικανότητα δικτύου του στιγμιότυπου, τη δική του στοίβα του πελάτη και τον προορισμό. Δοκιμάστε με αντιπροσωπευτικούς πελάτες και την ίδια εργασία και στα δύο σχέδια.

Ένα μεγαλύτερο στιγμιότυπο δεν είναι απόδειξη ότι η μεταφορά θα είναι ταχύτερη, και μία επιτυχημένη συνεδρία δεν είναι σχέδιο χωρητικότητας. Αντιμετωπίστε όποια κληρονομημένη φημολογία για οικογένειες στιγμιοτύπων ως υπόθεση προς δοκιμή, όχι ως κανόνα αγοράς.

Βήμα 5: μεταβείτε με επαναφορά που έχετε εκτελέσει

Τρέξτε και τα δύο τελικά σημεία παράλληλα για καθορισμένη περίοδο, διανείμετε πρώτα το νέο προφίλ πελάτη σε μια μικρή ομάδα και αφήστε τους κανόνες εξουσιοδότησης του παλιού τελικού σημείου ανέγγιχτους ώσπου η ομάδα να χρησιμοποιήσει το νέο σε πραγματική δουλειά. Η επαναφορά είναι αλλαγή προφίλ, όχι ξαναχτίσιμο, οπότε αποφασίστε τώρα πού ζει το παλιό προφίλ.

Επαληθεύστε με αυτή τη σειρά: η αυθεντικοποίηση πετυχαίνει, ο πελάτης λαμβάνει τις αναμενόμενες διαδρομές, ένας εξουσιοδοτημένος προορισμός απαντά, ένας μη εξουσιοδοτημένος προορισμός αποτυγχάνει, και τα αρχεία καταγραφής δείχνουν και τα δύο γεγονότα. Αν αποτύχει οποιοδήποτε βήμα, σταματήστε και διορθώστε αυτό το βήμα αντί να περάσετε στην επόμενη ομάδα πελατών. Καταγράψτε το αποτέλεσμα κάθε ελέγχου, γιατί μια μετάβαση που θυμάται κανείς μόνο ως «δούλεψε» δεν μπορεί να αποσφαλματωθεί ένα μήνα αργότερα.

Μετά τη μετάβαση, προγραμματίστε τους βαρετούς ελέγχους: λήξη πιστοποιητικών, πλήθος συσχετίσεων, κανόνες εξουσιοδότησης που δεν ταιριάζουν πια με ομάδα, και το πλήθος συνδέσεων έναντι της προσδοκίας σας. Ο Οδηγός διαχείρισης του Client VPN είναι η αναφορά για τα μέρη τελικού σημείου, αυθεντικοποίησης και δρομολόγησης που διαμορφώσατε.