AWS Client VPN या EC2 पर VPN: एक ऑपरेटिंग रनबुक

दोनों विकल्प आपकी टीम को दूरस्थ पहुँच के लिए VPN देते हैं, इसलिए असली सवाल यह नहीं है कि कौन मौजूद है, बल्कि यह है कि आप किसे चला सकते हैं। फ़र्क यह है कि रात 3 बजे एंडपॉइंट का मालिक कौन है और कुछ टूटने पर आप किन नियंत्रणों तक पहुँच सकते हैं। नीचे दिए पाँच चरण क्रम से पूरे करें, क्योंकि हर एक तुलना को जल्दी ख़त्म कर सकता है। इन्वेंटरी चरण छोड़ना ही वह रास्ता है जिससे टीमें दो बार माइग्रेट करती हैं।

चरण 1: बिल से पहले ज़रूरत लिखें

आपको एक पन्ने पर पाँच तथ्य चाहिए: कौन और किसके विरुद्ध प्रमाणीकरण करता है, कौन-से क्लाइंट प्लेटफ़ॉर्म काम करने चाहिए, कौन-से निजी गंतव्य पहुँच योग्य हैं, आपने कौन-सी उपलब्धता का वादा किया है और ट्रैफ़िक वास्तव में कैसा दिखता है। इनके बिना हर आगे की तुलना सुविधाओं की सूची पर बहस बन जाती है।

गंतव्यों के बारे में ठोस रहें। «VPC तक पहुँच» का अर्थ आम तौर पर तीन अलग चीज़ें होता है: VPC CIDR, एक पीयर किया गया नेटवर्क और Transit Gateway के पीछे एक ऑन-प्रिमाइसेस रेंज। एक प्रबंधित एंडपॉइंट तीनों तक पहुँच सकता है, पर हर एक को रूट और प्राधिकरण नियम चाहिए, और हर एक आपकी ज़रूरत में अलग पंक्ति है।

चरण 2: जो पहले से चल रहा है उसकी सूची बनाएँ

कुछ भी डिज़ाइन करने से पहले मौजूदा एंडपॉइंट और EC2 पर होस्ट किए गए किसी भी सर्वर को उसके सुरक्षा समूहों के साथ सूचीबद्ध करें। ये कॉल केवल पढ़ने के लिए हैं और describe अनुमतियों वाले खाते से चलाना सुरक्षित है।

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

आउटपुट को इस नक्शे की तरह पढ़ें कि क्लाइंट पहले से कहाँ पहुँच सकते हैं। छूटा हुआ प्राधिकरण नियम ऐसी विफलता समझाता है जो रूटिंग समस्या जैसी लगती है, और एक सबनेट से जुड़ा एंडपॉइंट समझाता है कि एक ज़ोन की विफलता ने पूरी सेवा क्यों गिरा दी।

किसी भी स्वयं-होस्ट किए गए इंस्टेंस से जुड़े सुरक्षा समूह भी दर्ज करें। वे नियम पहुँच मॉडल का हिस्सा हैं, और जब कोई टेम्पलेट से इंस्टेंस फिर बनाता है तो सबसे पहले वही चुपचाप टूटते हैं।

चरण 3: ज़िम्मेदारियाँ बाँटें

प्रबंधित सेवा एंडपॉइंट फ़्लीट, उसकी पैचिंग और क्षेत्र के भीतर उसकी उपलब्धता की मालिक है। आप पहचान नामांकन, प्राधिकरण नियम, एंडपॉइंट के पीछे के नेटवर्क रास्ते, लॉगिंग कॉन्फ़िगरेशन और कितने सबनेट जोड़ने के फ़ैसले के मालिक हैं।

स्वयं-होस्टिंग इसे उलट देती है। आप अतिथि ऑपरेटिंग सिस्टम, VPN डेमॉन और उसके कॉन्फ़िगरेशन, प्रमाणपत्र और कुंजियाँ, बैकअप, निगरानी और रिकवरी के मालिक हैं। EC2 का सुरक्षा मॉडल अतिथि और अनुप्रयोग सुरक्षा ग्राहक पर डालता है, और VPN सर्वर किसी भी अन्य अतिथि जैसा अतिथि है।

बँटवारे को दाएँ कॉलम में नामों वाली तालिका के रूप में लिखें। अगर प्रमाणपत्र नवीनीकरण के पास किसी का नाम नहीं आता, तो वही मुख्य निष्कर्ष है, और वह प्रति घंटा अंतर से ज़्यादा मायने रखता है।

चरण 4: ऐसे वर्कलोड से तुलना करें जिसे आप बता सकें

लागत आकार नहीं, आकृति का पीछा करती है। प्रबंधित विकल्प के लिए एंडपॉइंट जुड़ाव के घंटे, क्लाइंट कनेक्शन के घंटे, ट्रांसफ़र और जो पहचान व लॉगिंग सेवाएँ आप चालू करते हैं, गिनें। स्वयं-होस्टिंग के लिए कंप्यूट, स्टोरेज, नेटवर्किंग, लाइसेंस और वह इंजीनियरिंग समय गिनें जो सर्वर को पैच रखता है। दोनों संख्याएँ एक ही समय-सीमा वाली एक शीट में रखें। पैचिंग घंटों को नज़रअंदाज़ करने वाली तीन साल की तुलना हमेशा उसी सर्वर के पक्ष में जाएगी जो आपके पास पहले से है।

प्रदर्शन तुलनाओं को भी वही अनुशासन चाहिए। एक इंटरैक्टिव डेस्कटॉप सत्र, एक बड़ा ट्रांसफ़र और पचास समवर्ती छोटे अनुरोध रास्ते के अलग-अलग हिस्सों पर दबाव डालते हैं: एन्क्रिप्शन के लिए CPU, इंस्टेंस की नेटवर्क क्षमता, क्लाइंट का अपना स्टैक और गंतव्य। प्रतिनिधि क्लाइंट के साथ और दोनों डिज़ाइनों में एक ही काम से परखें।

बड़ा इंस्टेंस इस बात का सबूत नहीं है कि ट्रांसफ़र तेज़ होगा, और एक सफल सत्र क्षमता योजना नहीं है। इंस्टेंस परिवारों के बारे में विरासत में मिली किसी भी बात को ख़रीद नियम नहीं, परखने योग्य परिकल्पना मानें।

चरण 5: उस रोलबैक के साथ कटओवर करें जिसे आप चला चुके हैं

निर्धारित अवधि के लिए दोनों एंडपॉइंट समानांतर चलाएँ, नई क्लाइंट प्रोफ़ाइल पहले एक छोटे समूह को बाँटें, और पुराने एंडपॉइंट के प्राधिकरण नियम तब तक अछूते रखें जब तक समूह नई प्रोफ़ाइल को असली काम में इस्तेमाल न कर ले। रोलबैक प्रोफ़ाइल की अदला-बदली है, पुनर्निर्माण नहीं, इसलिए अभी तय करें कि पुरानी प्रोफ़ाइल कहाँ रहती है।

इस क्रम में जाँचें: प्रमाणीकरण सफल होता है, क्लाइंट को अपेक्षित रूट मिलते हैं, एक अधिकृत गंतव्य उत्तर देता है और एक अनधिकृत गंतव्य विफल होता है, और लॉग दोनों घटनाएँ दिखाते हैं। अगर कोई चरण विफल हो, तो रुकें और उसी चरण को ठीक करें, अगले क्लाइंट समूह की ओर न बढ़ें। हर जाँच का नतीजा लिखें, क्योंकि सिर्फ़ «काम कर गया» के रूप में याद रहने वाला कटओवर एक महीने बाद डीबग नहीं हो सकता।

कटओवर के बाद उबाऊ जाँचें तय करें: प्रमाणपत्र की समाप्ति, जुड़ावों की संख्या, ऐसे प्राधिकरण नियम जो अब किसी समूह से मेल नहीं खाते, और आपकी अपेक्षा के मुक़ाबले कनेक्शनों की संख्या। Client VPN प्रशासन गाइड आपके द्वारा कॉन्फ़िगर किए गए एंडपॉइंट, प्रमाणीकरण और रूटिंग हिस्सों का संदर्भ है।