AWS Client VPN vai VPN EC2:ssa: käyttökäsikirja

Molemmat vaihtoehdot antavat tiimillesi etäkäyttö-VPN:n, joten kiinnostava kysymys ei ole, kumpi on olemassa, vaan kumpaa pystytte ylläpitämään. Ero on siinä, kuka omistaa päätepisteen kello 3 yöllä ja mihin kontrolleihin pääsette, kun jotain hajoaa. Käy alla olevat viisi askelta järjestyksessä, sillä jokainen voi päättää vertailun aikaisin. Inventaarioaskeleen väliin jättäminen on juuri se tapa, jolla tiimit päätyvät migroimaan kahdesti.

Vaihe 1: kirjoita vaatimus ennen laskua

Tarvitset viisi tosiasiaa yhdelle sivulle: kuka todentaa ja mitä vastaan, mitkä asiakasalustat on saatava toimimaan, mitkä yksityiset kohteet ovat tavoitettavissa, mitä käytettävyyttä lupasitte ja miltä liikenne todella näyttää. Ilman niitä jokaisesta myöhemmästä vertailusta tulee riita ominaisuusluettelosta.

Ole konkreettinen kohteista. «Pääsy VPC:hen» tarkoittaa yleensä kolmea eri asiaa: VPC:n CIDR, vertaisverkko ja paikallinen alue Transit Gatewayn takana. Hallittu päätepiste tavoittaa kaikki kolme, mutta jokainen tarvitsee reitin ja valtuutussäännön, ja jokainen on erillinen rivi vaatimuksessasi.

Vaihe 2: luettele, mikä jo toimii

Ennen kuin suunnittelet mitään, luettele olemassa olevat päätepisteet ja jokainen EC2:ssa isännöity palvelin sekä niiden tietoturvaryhmät. Nämä kutsut ovat vain luku -tyyppisiä ja turvallisia suorittaa tililtä, jolla on describe-oikeudet.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Lue tuloste karttana siitä, mihin asiakkaat jo pääsevät. Puuttuva valtuutussääntö selittää vian, joka näyttää reititysongelmalta, ja yhteen aliverkkoon liitetty päätepiste selittää, miksi vyöhykehäiriö kaatoi koko palvelun.

Kirjaa myös kaikki itse ylläpidettyihin instansseihin liitetyt tietoturvaryhmät. Ne säännöt ovat osa käyttömallia, ja ne hajoavat ensimmäisenä äänettömästi, kun joku rakentaa instanssin uudelleen mallista.

Vaihe 3: jaa vastuut

Hallittu palvelu omistaa päätepisteiden joukon, niiden paikkaukset ja käytettävyyden alueen sisällä. Sinä omistat identiteettien rekisteröinnin, valtuutussäännöt, päätepisteen takana olevat verkkoreitit, lokitusasetukset ja päätöksen siitä, kuinka monta aliverkkoa liitetään.

Itse ylläpitäminen kääntää tämän. Sinä omistat vieraskäyttöjärjestelmän, VPN-taustapalvelun ja sen asetukset, varmenteet ja avaimet, varmuuskopiot, valvonnan ja palautuksen. EC2:n tietoturvamalli jättää vieraan ja sovelluksen tietoturvan asiakkaalle, ja VPN-palvelin on vieras siinä missä muutkin.

Kirjoita jako taulukkona, nimet oikeassa sarakkeessa. Jos varmenteiden uusimisen kohdalla ei ole kenenkään nimeä, se on löydös, ja se painaa enemmän kuin tuntihinnan ero.

Vaihe 4: vertaa kuormaan, jonka osaat kuvata

Kustannus seuraa muotoa, ei kokoa. Hallitussa vaihtoehdossa lasket päätepisteiden liityntätunnit, asiakasyhteyksien tunnit, siirron sekä käyttöön ottamasi identiteetti- ja lokituspalvelut. Itse ylläpidossa lasket laskennan, tallennuksen, verkon, lisenssit ja insinöörityön, joka pitää palvelimen paikattuna. Laita molemmat lukusarjat samaan taulukkoon samalla aikajänteellä. Kolmen vuoden vertailu, joka jättää paikkaustunnit huomiotta, suosii aina palvelinta, joka sinulla jo on.

Suorituskykyvertailut vaativat saman kurinalaisuuden. Yksi interaktiivinen työpöytäistunto, yksi suuri siirto ja viisikymmentä samanaikaista pientä pyyntöä rasittavat reitin eri osia: CPU salaukseen, instanssin verkkokyky, asiakkaan oma pino ja kohde. Testaa edustavilla asiakkailla ja samalla tehtävällä molemmissa malleissa.

Suurempi instanssi ei ole todiste siitä, että siirto olisi nopeampi, eikä yksi onnistunut istunto ole kapasiteettisuunnitelma. Kohtele mitä tahansa perittyä instanssiperhepuhetta testattavana hypoteesina, älä ostosääntönä.

Vaihe 5: siirry palautuksella, jonka olet jo ajanut

Aja molempia päätepisteitä rinnakkain määritetyn ajan, jaa uusi asiakasprofiili ensin pienelle ryhmälle ja jätä vanhan päätepisteen valtuutussäännöt koskemattomiksi, kunnes ryhmä on käyttänyt uutta oikeassa työssä. Palautus on profiilin vaihto, ei uudelleenrakennus, joten päätä nyt, missä vanha profiili asuu.

Tarkista tässä järjestyksessä: todennus onnistuu, asiakas saa odotetut reitit, valtuutettu kohde vastaa, valtuuttamaton kohde epäonnistuu, ja lokit näyttävät molemmat tapahtumat. Jos jokin vaihe epäonnistuu, pysähdy ja korjaa se vaihe sen sijaan, että siirtyisit seuraavaan asiakasryhmään. Kirjoita jokaisen tarkistuksen tulos ylös, sillä siirtoa, joka muistetaan vain «se toimi», ei voi selvittää kuukautta myöhemmin.

Siirron jälkeen aikatauluta tylsät tarkistukset: varmenteiden vanheneminen, liityntöjen määrä, valtuutussäännöt, jotka eivät enää vastaa ryhmää, ja yhteyksien määrä odotustasi vasten. Client VPN:n hallintaopas on viite niille päätepisteen, todentamisen ja reitityksen osille, jotka konfiguroit.