AWS Client VPN aŭ VPN sur EC2: operacia manlibro

Ambaŭ elektoj donas al via teamo VPN por fora aliro, do la interesa demando ne estas kiu ekzistas, sed kiun vi povas funkciigi. La diferenco estas kiu posedas la finpunkton je la 3-a matene kaj kiujn regilojn vi povas atingi kiam io rompiĝas. Trapasu la kvin paŝojn sube en ordo, ĉar ĉiu povas fini la komparon frue. Preterpasi la inventaran paŝon estas ĝuste tio, kial teamoj finfine migras dufoje.

Paŝo 1: skribu la postulon antaŭ la fakturo

Vi bezonas kvin faktojn sur unu paĝo: kiu aŭtentikigas kaj kontraŭ kio, kiuj klientaj platformoj devas funkcii, kiuj privataj celoj estas atingeblaj, kiun disponeblecon vi promesis kaj kiel la trafiko efektive aspektas. Sen tiuj, ĉiu posta komparo fariĝas kverelo pri listo de funkcioj.

Estu konkreta pri celoj. «Aliro al la VPC» kutime signifas tri malsamajn aferojn: la VPC-CIDR, samrangigitan reton kaj lokan gamon malantaŭ Transit Gateway. Administrata finpunkto povas atingi ĉiujn tri, sed ĉiu bezonas vojon kaj rajtigan regulon, kaj ĉiu estas aparta linio en via postulo.

Paŝo 2: listigu tion, kio jam funkcias

Antaŭ ol desegni ion ajn, listigu la ekzistantajn finpunktojn kaj ĉiun servilon gastigatan sur EC2 kune kun ĝiaj sekurecaj grupoj. Tiuj alvokoj estas nurlegaj kaj sekuraj plenumi el konto kun describe-permesoj.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Legu la eligon kiel mapon de tio, kion klientoj jam povas atingi. Mankanta rajtiga regulo klarigas malsukceson, kiu aspektas kiel vojiga problemo, kaj finpunkto asociita kun unu subreto klarigas, kial zona paneo faligis la tutan servon.

Notu ankaŭ la sekurecajn grupojn ligitajn al iu ajn memgastigata instanco. Tiuj reguloj estas parto de la alirmodelo, kaj ili estas la unua afero, kiu silente rompiĝas kiam iu rekonstruas instancon el ŝablono.

Paŝo 3: dividu la respondecojn

La administrata servo posedas la finpunktan aron, ĝian flikadon kaj ĝian disponeblecon ene de la regiono. Vi posedas identigan aliĝon, rajtigajn regulojn, la retajn vojojn malantaŭ la finpunkto, la protokolan agordon kaj la decidon kiom da subretoj asocii.

Memgastigado renversas tion. Vi posedas la gastan operaciumon, la VPN-demonon kaj ĝian agordon, atestilojn kaj ŝlosilojn, savkopiojn, observadon kaj restarigon. La sekureca modelo de EC2 metas gastan kaj aplikaĵan sekurecon sur la klienton, kaj VPN-servilo estas gasto kiel iu ajn alia.

Skribu la dividon kiel tabelon kun nomoj en la dekstra kolumno. Se neniu nomo aperas apud atestila renovigo, tio estas la trovaĵo, kaj ĝi gravas pli ol la hora diferenco.

Paŝo 4: komparu kontraŭ laborkvanto, kiun vi povas priskribi

Kosto sekvas formon, ne grandecon. Por la administrata opcio, kalkulu horojn de finpunkta asociado, horojn de klientaj konektoj, transporton kaj la identigajn kaj protokolajn servojn, kiujn vi ebligas. Por memgastigado, kalkulu komputadon, konservadon, reton, licencojn kaj la inĝenieran tempon, kiu tenas la servilon flikita. Metu ambaŭ arojn de nombroj en unu folion kun la sama tempa horizonto. Trijara komparo, kiu ignoras flikajn horojn, ĉiam favoros la servilon, kiun vi jam posedas.

Agadkomparoj bezonas la saman disciplinon. Unu interaga labortabla seanco, unu granda transporto kaj kvindek samtempaj malgrandaj petoj ŝarĝas malsamajn partojn de la vojo: la procesoron por ĉifrado, la retan kapablon de la instanco, la propran stakon de la kliento kaj la celon. Testu kun reprezentaj klientoj kaj la sama tasko en ambaŭ dezajnoj.

Pli granda instanco ne pruvas, ke transporto estos pli rapida, kaj unu sukcesa seanco ne estas kapacita plano. Traktu ajnan hereditan folkloron pri instancaj familioj kiel hipotezon por testi, ne kiel aĉetan regulon.

Paŝo 5: transiru kun retroigo, kiun vi jam praktikis

Funkciigu ambaŭ finpunktojn paralele dum difinita periodo, disdonu la novan klientan profilon unue al malgranda grupo, kaj lasu la rajtigajn regulojn de la malnova finpunkto netuŝitaj ĝis la grupo uzos la novan por reala laboro. Retroigo estas profila ŝanĝo, ne rekonstruo, do decidu nun, kie loĝas la malnova profilo.

Kontrolu laŭ ĉi tiu ordo: aŭtentikigo sukcesas, la kliento ricevas la atendatajn vojojn, rajtigita celo respondas, nerajtigita celo malsukcesas, kaj la protokoloj montras ambaŭ eventojn. Se iu paŝo malsukcesas, haltu kaj riparu tiun paŝon anstataŭ transiri al la sekva klienta grupo. Skribu la rezulton de ĉiu kontrolo, ĉar transiro memorata nur kiel «ĝi funkciis» ne povas esti sencimigita monaton poste.

Post la transiro, planu la enuajn kontrolojn: atestila limdato, nombro de asociadoj, rajtigaj reguloj, kiuj ne plu kongruas kun grupo, kaj la nombro de konektoj kontraŭ via atendo. La Administra gvidilo de Client VPN estas la referenco por la finpunktaj, aŭtentikigaj kaj vojigaj partoj, kiujn vi agordis.