AWS Client VPN või VPN EC2-l: kasutusjuhend

Mõlemad valikud annavad meeskonnale kaugjuurdepääsu VPN-i, seega huvitav küsimus ei ole, milline neist olemas on, vaid millist te suudate käitada. Erinevus on selles, kellele kuulub lõpp-punkt kell 3 öösel ja millistele juhtelementidele te rikke korral ligi pääsete. Käige allolevad viis sammu järjest läbi, sest igaüks neist võib võrdluse varakult lõpetada. Just inventuurisammu vahelejätmine viib selleni, et meeskonnad migreerivad kaks korda.

Samm 1: kirjuta nõue enne arvet

Teil on vaja viit fakti ühele lehele: kes autendib ja mille vastu, millised kliendiplatvormid peavad töötama, millised privaatsed sihtkohad on kättesaadavad, millist käideldavust te lubasite ja milline liiklus tegelikult välja näeb. Ilma nendeta muutub iga hilisem võrdlus funktsioonide nimekirja vaidluseks.

Olge sihtkohtade osas konkreetne. „Juurdepääs VPC-le“ tähendab tavaliselt kolme eri asja: VPC CIDR-i, peeritud võrku ja kohalikku vahemikku Transit Gateway taga. Hallatav lõpp-punkt jõuab kõigini kolmeni, kuid igaüks vajab marsruuti ja autoriseerimisreeglit ning igaüks on teie nõudes eraldi rida.

Samm 2: loetle, mis juba töötab

Enne millegi kavandamist loetlege olemasolevad lõpp-punktid ja iga EC2-l majutatud server koos selle turvagruppidega. Need kutsed on ainult lugemiseks ja ohutud käivitada kontolt, millel on describe-õigused.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Lugege väljundit kaardina sellest, kuhu kliendid juba jõuavad. Puuduv autoriseerimisreegel selgitab tõrget, mis näeb välja marsruutimisprobleemina, ja ühe alavõrguga seotud lõpp-punkt selgitab, miks tsoonitõrge kogu teenuse maha võttis.

Kirjutage üles ka kõigi ise majutatud instantside küljes olevad turvagrupid. Need reeglid on juurdepääsumudeli osa ja esimene asi, mis vaikselt katki läheb, kui keegi instantsi mallist uuesti üles ehitab.

Samm 3: jagage vastutused

Hallatav teenus omab lõpp-punktide parki, selle paikamist ja kättesaadavust regioonis. Teie omate identiteedi registreerimist, autoriseerimisreegleid, lõpp-punkti taga olevaid võrguteid, logimise konfiguratsiooni ja otsust, kui palju alavõrke siduda.

Ise majutamine pöörab selle ümber. Teie omate külalisoperatsioonisüsteemi, VPN-deemonit ja selle konfiguratsiooni, sertifikaate ja võtmeid, varukoopiaid, seiret ja taastamist. EC2 turbemudel paneb külalise ja rakenduse turvalisuse kliendile ning VPN-server on külaline nagu iga teine.

Kirjutage jaotus tabelina, kus nimed on paremas veerus. Kui sertifikaatide uuendamise kõrval ei ole kellegi nime, on see leid ja see loeb rohkem kui tunnihindade vahe.

Samm 4: võrrelge koormusega, mida suudate kirjeldada

Kulu järgib kuju, mitte suurust. Hallatava valiku puhul loendage lõpp-punkti sidumistunde, kliendiühenduse tunde, ülekannet ning identiteedi- ja logiteenuseid, mille lubate. Ise majutamise puhul loendage arvutust, salvestust, võrku, litsentse ja inseneriaega, mis hoiab serveri paigatud. Pange mõlemad arvude kogumid ühte tabelisse sama ajahorisondiga. Kolmeaastane võrdlus, mis ignoreerib paikamistunde, eelistab alati serverit, mis teil juba olemas on.

Jõudluse võrdlused nõuavad sama distsipliini. Üks interaktiivne töölauaseanss, üks suur ülekanne ja viiskümmend samaaegset väikest päringut koormavad tee erinevaid osi: krüpteerimise protsessor, instantsi võrgusuutlikkus, kliendi enda virn ja sihtkoht. Testige esinduslike klientidega ja sama ülesandega mõlemas lahenduses.

Suurem instants ei ole tõestus, et ülekanne on kiirem, ja üks õnnestunud seanss ei ole mahutavuskava. Käsitlege igasugust pärandina saadud instantsiperekonda puudutavat juttu kontrollitava hüpoteesina, mitte ostureeglina.

Samm 5: lülitage üle tagasipööramisega, mille olete läbi proovinud

Käitage mõlemat lõpp-punkti kindla aja jooksul paralleelselt, jagage uus kliendiprofiil esmalt väikesele grupile ja jätke vana lõpp-punkti autoriseerimisreeglid puutumata, kuni grupp on uut päris töös kasutanud. Tagasipööramine on profiili vahetus, mitte ülesehitamine, seega otsustage kohe, kus vana profiil elab.

Kontrollige selles järjekorras: autentimine õnnestub, klient saab oodatud marsruudid, autoriseeritud sihtkoht vastab, autoriseerimata sihtkoht ebaõnnestub, ja logid näitavad mõlemat sündmust. Kui mõni samm ebaõnnestub, peatuge ja parandage see samm, selle asemel et liikuda järgmise kliendigrupi juurde. Kirjutage iga kontrolli tulemus üles, sest üleminekut, mida mäletatakse ainult kui «töötas», ei saa kuu aega hiljem siluda.

Pärast üleminekut ajastage igavad kontrollid: sertifikaatide aegumine, sidumiste arv, autoriseerimisreeglid, mis ei vasta enam grupile, ja ühenduste arv teie ootuse vastu. Client VPN-i haldusjuhend on viide lõpp-punkti, autentimise ja marsruutimise osadele, mille te seadistasite.