AWS Client VPN of in VPN op EC2: in bedriuwsrunboek

Beide opsjes jouwe jo team in VPN foar tagong op ôfstân, dus de nijsgjirrige fraach is net hokker bestiet, mar hokker jo betsjinje kinne. It ferskil is wa’t it einpunt om 3 oere nachts besit en hokker kontrôles jo berikke kinne as der wat stikken giet. Wurkgje de fiif stappen hjirûnder yn folchoarder ôf, want elk kin de ferliking betiid einigje. It oerslaan fan ’e ynventarisstap is hoe’t teams twa kear migrearje.

Stap 1: skriuw de eask foar de rekken

Jo hawwe fiif feiten nedich op ien side: wa’t autentisearret en wêrtsjin, hokker klantplatfoarms wurkje moatte, hokker partikuliere bestimmingen berikber binne, hokker beskikberens jo tasein hawwe en hoe’t it ferkear der echt útsjocht. Sûnder dy wurde elke lettere ferliking in diskusje oer in funksjelist.

Wês konkreet oer bestimmingen. «Tagong ta de VPC» betsjut meastentiids trije ferskillende dingen: it VPC-CIDR, in peerjend netwurk en in lokaal berik efter in Transit Gateway. In beheard einpunt kin alle trije berikke, mar elk hat in rûte en in autorisaasjeregel nedich, en elk is in aparte rigel yn jo eask.

Stap 2: list op wat al rint

Foardat jo eat ûntwerpe, listje de besteande einpunten en elke tsjinner dy’t op EC2 host wurdt, mei syn feiligensgroepen. Dizze oproppen binne allinnich lêze en feilich fan in akkount mei describe-rjochten.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Lês de útfier as in kaart fan wat klanten al berikke kinne. In ûntbrekkende autorisaasjeregel ferklearret in flater dy’t as in rûteprobleem liket, en in einpunt ferbûn mei ien subnet ferklearret wêrom’t in sôneflater de hiele tsjinst delhelle.

Skriuw ek de feiligensgroepen op dy’t oan in sels hoste eksimplaar hingje. Dy regels binne part fan it tagongsmodel, en se binne it earste dat stil stikken giet as immen in eksimplaar opnij bout út in sjabloan.

Stap 3: ferdiel de ferantwurdlikheden

De behearde tsjinst besit de einpuntenfloat, it patchen dêrfan en de beskikberens yn ’e regio. Jo besitte identiteitsynskriuwing, autorisaasjeregels, de netwurkrûtes efter it einpunt, de loggingkonfiguraasje en it beslút hoefolle subnets ferbûn wurde.

Sels hoste keart dat om. Jo besitte it gastbestjoeringssysteem, de VPN-daemon en syn konfiguraasje, sertifikaten en kaaien, backups, monitoring en werstel. It feiligensmodel fan EC2 leit gast- en applikaasjefeiligens by de klant, en in VPN-tsjinner is in gast lykas elke oare.

Skriuw de ferdieling op as in tabel mei nammen yn ’e rjochterkolom. As der by sertifikaatfernijing gjin namme stiet, is dat de befinning, en dat weaget swierder as it ferskil per oere.

Stap 4: fergelykje mei in wurklêst dy’t jo beskriuwe kinne

Kosten folgje foarm, net grutte. Foar de behearde opsje telle jo oeren fan einpuntferbining, oeren fan klantferbining, transfer en de identiteits- en loggingtsjinsten dy’t jo ynskeakelje. Foar sels hoste telle jo komputaasje, opslach, netwurk, lisinsjes en de yngenierstiid dy’t de tsjinner patcht hâldt. Set beide sets sifers yn ien blêd mei deselde tiidshorizon. In ferliking fan trije jier dy’t patch-oeren negearret, sil altyd de tsjinner befoardiele dy’t jo al hawwe.

Prestaasjeferlikingen freegje deselde dissipline. Ien ynteraktive buroblêdsesje, ien grutte transfer en fyftich tagelyk lytse oanfragen belêstje ferskillende dielen fan ’e rûte: de prosessor foar fersifering, de netwurkfeardigens fan it eksimplaar, de eigen stapel fan ’e klant en de bestimming. Test mei fertsjintwurdigjende klanten en deselde taak op beide ûntwerpen.

In grutter eksimplaar is gjin bewiis dat in transfer flugger sil wêze, en ien slagge sesje is gjin kapasiteitsplan. Behandel elk oerlevere ferhaal oer eksimplaar-famyljes as in hypoteze om te testen, net as in oankeapregel.

Stap 5: stjoer oer mei in weromset dy’t jo rûn hawwe

Lit beide einpunten parallel rinnen foar in fêste perioade, ferdiel it nije klantprofyl earst oer in lytse groep en lit de autorisaasjeregels fan it âlde einpunt ûnferoare oant de groep it nije foar echt wurk brûkt hat. Weromsette is in profylwiksel, gjin weropbou, dus beslút no wêr’t it âlde profyl wennet.

Kontrolearje yn dizze folchoarder: autentikaasje slagget, de klant krijt de ferwachte rûtes, in autorisearre bestimming antwurdet en in net-autorisearre bestimming mislearret, en de logs litte beide barrens sjen. As ien stap mislearret, stopje en reparearje dy stap ynstee fan nei de folgjende klantgroep te gean. Skriuw it resultaat fan elke kontrôle op, want in oerstap dy’t allinnich as «it wurke» betocht wurdt, kin in moanne letter net mear debugt wurde.

Nei de oerstap plannen jo de saaie kontrôles: sertifikaatferrin, oantal ferbiningen, autorisaasjeregels dy’t net mear by in groep passe en it oantal ferbiningen tsjin jo ferwachting. De Behearhandleiding foar Client VPN is de referinsje foar de einpunt-, autentikaasje- en rûte-dielen dy’t jo konfigurearre hawwe.