AWS Client VPN یا VPN روی EC2: یک دفترچه اجرایی

هر دو گزینه به تیم شما VPN دسترسی از راه دور می‌دهند، پس پرسش مهم این نیست که کدام وجود دارد، بلکه این است که کدام را می‌توانید اداره کنید. تفاوت در این است که در ساعت 3 بامداد مالک نقطه پایانی کیست و در صورت خرابی به کدام کنترل‌ها دسترسی دارید. پنج گام زیر را به ترتیب انجام دهید، چون هر یک می‌تواند مقایسه را زودتر پایان دهد. جا انداختن گام فهرست‌برداری همان چیزی است که باعث می‌شود تیم‌ها دو بار مهاجرت کنند.

گام 1: نیازمندی را پیش از صورت‌حساب بنویسید

به پنج واقعیت در یک صفحه نیاز دارید: چه کسی و در برابر چه چیزی احراز هویت می‌کند، کدام پلتفرم‌های کلاینت باید کار کنند، کدام مقصدهای خصوصی قابل دسترسی‌اند، چه سطح دسترس‌پذیری را وعده داده‌اید و ترافیک در واقع چگونه است. بدون این‌ها هر مقایسه بعدی به جدال بر سر فهرست ویژگی‌ها تبدیل می‌شود.

درباره مقصدها مشخص باشید. «دسترسی به VPC» معمولاً سه چیز متفاوت یعنی: CIDR خود VPC، یک شبکه همتا و یک بازه محلی پشت Transit Gateway. یک نقطه پایانی مدیریت‌شده به همه سه می‌رسد، اما هر یک به مسیر و قاعده مجوز نیاز دارد و هر یک سطر جداگانه‌ای در نیازمندی شماست.

گام 2: آنچه همین حالا در حال اجراست را فهرست کنید

پیش از طراحی هر چیزی، نقاط پایانی موجود و هر سروری که روی EC2 میزبانی می‌شود را همراه با گروه‌های امنیتی آن فهرست کنید. این فراخوانی‌ها فقط خواندنی‌اند و اجرایشان از حسابی با مجوزهای describe بی‌خطر است.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

خروجی را به عنوان نقشه‌ای از آنچه کلاینت‌ها همین حالا به آن می‌رسند بخوانید. یک قاعده مجوز جاافتاده خرابی‌ای را توضیح می‌دهد که شبیه مشکل مسیریابی به نظر می‌رسد، و نقطه پایانی متصل به یک زیرشبکه توضیح می‌دهد چرا خرابی یک منطقه کل سرویس را از کار انداخت.

گروه‌های امنیتی متصل به هر نمونه خودمیزبان را هم ثبت کنید. این قواعد بخشی از مدل دسترسی‌اند و نخستین چیزی هستند که وقتی کسی نمونه‌ای را از قالب بازسازی می‌کند، بی‌صدا می‌شکنند.

گام 3: مسئولیت‌ها را تقسیم کنید

سرویس مدیریت‌شده مالک ناوگان نقاط پایانی، وصله‌پذیری و دسترس‌پذیری آن در منطقه است. شما مالک ثبت هویت، قواعد مجوز، مسیرهای شبکه پشت نقطه پایانی، پیکربندی گزارش‌گیری و تصمیم درباره تعداد زیرشبکه‌های متصل هستید.

میزبانی خودتان این را وارونه می‌کند. شما مالک سیستم‌عامل مهمان، سرویس VPN و پیکربندی آن، گواهی‌ها و کلیدها، پشتیبان‌گیری، پایش و بازیابی هستید. مدل امنیتی EC2 امنیت مهمان و برنامه را بر عهده مشتری می‌گذارد و سرور VPN هم مهمانی مانند هر مهمان دیگر است.

تقسیم را به شکل جدولی با نام‌ها در ستون راست بنویسید. اگر کنار تمدید گواهی نام هیچ‌کس نیامد، همان یافته اصلی است و از تفاوت هزینه ساعتی مهم‌تر است.

گام 4: با بار کاری‌ای مقایسه کنید که می‌توانید توصیفش کنید

هزینه از شکل پیروی می‌کند نه اندازه. برای گزینه مدیریت‌شده، ساعت‌های اتصال نقاط پایانی، ساعت‌های اتصال کلاینت‌ها، انتقال و سرویس‌های هویت و گزارش‌گیری‌ای که فعال می‌کنید را بشمارید. برای میزبانی خودتان، محاسبه، ذخیره‌سازی، شبکه، مجوزها و زمان مهندسی‌ای که سرور را به‌روز نگه می‌دارد را بشمارید. هر دو مجموعه عدد را در یک برگه با افق زمانی یکسان بگذارید. مقایسه سه‌ساله‌ای که ساعت‌های وصله را نادیده بگیرد همیشه به سود سروری خواهد بود که از قبل دارید.

مقایسه‌های کارایی به همان نظم نیاز دارند. یک نشست تعاملی رومیزی، یک انتقال بزرگ و پنجاه درخواست کوچک هم‌زمان بخش‌های مختلف مسیر را تحت فشار می‌گذارند: پردازنده برای رمزنگاری، توان شبکه نمونه، پشته خود کلاینت و مقصد. با کلاینت‌های نماینده و همان وظیفه در هر دو طراحی آزمایش کنید.

نمونه بزرگ‌تر اثبات سریع‌تر بودن انتقال نیست و یک نشست موفق برنامه ظرفیت نیست. هر باور ارثی درباره خانواده‌های نمونه را فرضیه‌ای برای آزمون بدانید، نه قاعده خرید.

گام 5: با بازگشتی که اجرا کرده‌اید انتقال دهید

هر دو نقطه پایانی را برای مدت مشخصی موازی اجرا کنید، پروفایل کلاینت جدید را نخست به گروه کوچکی بدهید و قواعد مجوز نقطه پایانی قدیمی را دست‌نخورده بگذارید تا گروه جدید را در کار واقعی به کار ببرد. بازگشت تغییر پروفایل است نه بازسازی، پس همین حالا تصمیم بگیرید پروفایل قدیمی کجا زندگی می‌کند.

به این ترتیب بررسی کنید: احراز هویت موفق می‌شود، کلاینت مسیرهای مورد انتظار را دریافت می‌کند، مقصد مجاز پاسخ می‌دهد و مقصد غیرمجاز شکست می‌خورد، و گزارش‌ها هر دو رویداد را نشان می‌دهند. اگر هر گامی شکست خورد، بایستید و همان گام را درست کنید، نه اینکه به گروه کلاینت بعدی بروید. نتیجه هر بررسی را بنویسید، چون انتقالی که فقط به صورت «کار کرد» به یاد می‌ماند یک ماه بعد قابل اشکال‌زدایی نیست.

پس از انتقال، بررسی‌های کسل‌کننده را زمان‌بندی کنید: انقضای گواهی، تعداد اتصال‌ها، قواعد مجوزی که دیگر با گروهی منطبق نیستند و تعداد اتصال‌ها در برابر انتظار شما. راهنمای مدیریت Client VPN مرجع بخش‌های نقطه پایانی، احراز هویت و مسیریابی است که پیکربندی کرده‌اید.