AWS Client VPN edo EC2ko VPN bat: eragiketa-eskuliburua

Bi aukerek urruneko sarbiderako VPN bat ematen diote zure taldeari, beraz galdera interesgarria ez da zein existitzen den, baizik eta zein ustia dezakezun. Aldea da nor den mutur-puntuaren jabe goizeko 3etan eta zein kontrolera iristen zaren zerbait hautsi denean. Jarraitu beheko bost urratsak ordenan, bakoitzak konparazioa goiz amai baitu dezakeelako. Inbentarioaren urratsa saltatzea da taldeek bi aldiz migratzera iristeko bidea.

1. urratsa: idatzi baldintza fakturaren aurretik

Bost datu behar dituzu orrialde bakarrean: nork autentifikatzen duen eta zerren aurka, zein bezero-plataformak funtzionatu behar duten, zein helmuga pribatu diren irisgarri, zein erabilgarritasun agindu zenuen eta nola dagoen trafikoa benetan. Horiek gabe, ondorengo konparazio bakoitza funtzio-zerrenda baten inguruko eztabaida bihurtzen da.

Izan zaitez zehatza helmugekin. «VPCrako sarbidea»k hiru gauza desberdin esan ohi ditu: VPCaren CIDRa, parekatutako sare bat eta Transit Gateway baten atzeko tokiko barruti bat. Kudeatutako mutur-puntu batek hirurak har ditzake, baina bakoitzak ibilbide bat eta baimen-arau bat behar ditu, eta bakoitza lerro bereizia da zure baldintzan.

2. urratsa: zerrendatu dagoeneko dabilena

Ezer diseinatu aurretik, zerrendatu lehendik dauden mutur-puntuak eta EC2n ostatatutako edozein zerbitzari, bere segurtasun-taldeekin. Dei hauek irakurtzeko soilik dira eta describe baimenak dituen kontu batetik exekutatzeko seguruak.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Irakurri irteera bezeroek dagoeneko har dezaketenaren mapa gisa. Falta den baimen-arau batek bideratze-arazo dirudien hutsegitea azaltzen du, eta azpisare bakar bati lotutako mutur-puntu batek zergatik zona-hutsegite batek zerbitzu osoa eraitsi zuen azaltzen du.

Idatzi autoostatutako edozein instantziari erantsitako segurtasun-taldeak ere. Arau horiek sarbide-ereduaren parte dira, eta isilka hausten den lehen gauza dira norbaitek instantzia txantiloi batetik berreraikitzen duenean.

3. urratsa: banatu erantzukizunak

Kudeatutako zerbitzua mutur-puntuen flotaren, haien patcheatzearen eta eskualdearen barruko erabilgarritasunaren jabe da. Zu zara identitateen erregistroaren, baimen-arauen, mutur-puntuaren atzeko sare-ibilbideen, erregistroen konfigurazioaren eta zenbat azpisare elkartuko diren erabakiaren jabe.

Autoostatuak hori alderantzikatzen du. Zu zara gonbidatuaren sistema eragilearen, VPN daemonaren eta haren konfigurazioaren, ziurtagirien eta gakoen, babeskopien, monitorizazioaren eta berreskuratzearen jabe. EC2ren segurtasun-ereduak gonbidatuaren eta aplikazioaren segurtasuna bezeroaren gain jartzen du, eta VPN zerbitzari bat edozein gonbidatu bezalakoa da.

Idatzi banaketa taula gisa, izenak eskuineko zutabean. Ziurtagirien berritzearen ondoan inoren izenik ez badago, horixe da aurkikuntza, eta orduko diferentzia baino garrantzitsuagoa da.

4. urratsa: konparatu deskriba dezakezun karga-lan batekin

Kostuak forma jarraitzen dio, ez tamainak. Kudeatutako aukerarako, zenbatu mutur-puntuen elkartze-orduak, bezero-konexioen orduak, transferentzia eta gaituzun identitate- eta erregistro-zerbitzuak. Autoostaturarako, zenbatu konputazioa, biltegiratzea, sarea, lizentziak eta zerbitzaria patcheatuta mantentzen duen ingeniaritza-denbora. Jarri bi zenbaki-multzoak horizonte berarekin orri bakarrean. Patcheatze-orduak baztertzen dituen hiru urteko konparazioak beti hobetuko du jada duzun zerbitzaria.

Errendimendu-konparazioek diziplina bera behar dute. Mahaigaineko saio interaktibo batek, transferentzia handi batek eta berrogeita hamar eskaera txiki aldi berean egiteak bidearen zati desberdinak estutzen dituzte: CPUa zifratzerako, instantziaren sare-gaitasuna, bezeroaren bere pila eta helmuga. Egiaztatu bezero adierazgarriekin eta zeregin berberarekin bi diseinuetan.

Instantzia handiagoa ez da transferentzia bizkorragoa izango den froga, eta saio arrakastatsu bat ez da edukiera-plan bat. Jaso duzun instantzia-familien inguruko edozein ahozko istorio probatzeko hipotesi gisa hartu, ez erosketa-arau gisa.

5. urratsa: egin migrazioa exekutatu duzun atzera-itzultzearekin

Exekutatu bi mutur-puntuak paraleloan zehaztutako epe batean, banatu bezero-profil berria lehenik talde txiki bati eta utzi mutur-puntu zaharreko baimen-arauak ukitu gabe, taldeak berria benetako lanean erabili arte. Atzera-itzultzea profil-aldaketa da, ez berreraikitzea, beraz erabaki orain non bizi den profil zaharra.

Egiaztatu ordena honetan: autentifikazioak arrakasta du, bezeroak espero diren ibilbideak jasotzen ditu, helmuga baimendu batek erantzuten du, baimenik gabeko helmuga batek huts egiten du, eta erregistzoek bi gertaerak erakusten dituzte. Edozein urratsek huts egiten badu, gelditu eta konpondu urrats hori hurrengo bezero-taldeari pasa beharrean. Idatzi egiaztapen bakoitzaren emaitza, «funtzionatu zuen» gisa soilik gogoratzen den migrazio bat ezin baita hilabete geroago araztu.

Migrazioaren ondoren, programatu egiaztapen aspergarriak: ziurtagirien iraungitzea, elkartze-kopurua, talde batekin bat ez datozen baimen-arauak eta konexio-kopurua zure itxaropenaren aurka. Client VPN administrazio-gida konfiguratu dituzun mutur-puntu, autentifikazio eta bideratze zatien erreferentzia da.