AWS Client VPN ili VPN na EC2: operativni priručnik

Obje opcije daju vašem timu VPN za udaljeni pristup, pa zanimljivo pitanje nije koja postoji, nego koju možete održavati. Razlika je tko posjeduje završnu točku u 3 sata ujutro i kojim kontrolama možete pristupiti kad nešto pukne. Prođite pet koraka ispod redom, jer svaki može završiti usporedbu ranije. Preskakanje koraka s inventarom način je na koji timovi završe s dvije migracije.

Korak 1: napišite zahtjev prije računa

Potrebno vam je pet činjenica na jednoj stranici: tko se autentificira i prema čemu, koje klijentske platforme moraju raditi, koje su privatne destinacije dostupne, kakvu ste dostupnost obećali i kako promet zapravo izgleda. Bez toga se svaka kasnija usporedba pretvara u raspravu o popisu značajki.

Budite konkretni oko destinacija. «Pristup VPC-u» obično znači tri različite stvari: VPC CIDR, povezanu mrežu i lokalni raspon iza Transit Gatewayja. Upravljana završna točka može dosegnuti sve tri, ali svaka traži rutu i pravilo autorizacije, i svaka je zaseban redak u vašem zahtjevu.

Korak 2: popišite što već radi

Prije nego što bilo što dizajnirate, popišite postojeće završne točke i svaki poslužitelj hostan na EC2 zajedno s njegovim sigurnosnim skupinama. Ovi su pozivi samo za čitanje i sigurni za izvođenje s računa koji ima describe dozvole.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Čitajte izlaz kao kartu onoga do čega klijenti već mogu doći. Pravilo autorizacije koje nedostaje objašnjava kvar koji izgleda kao problem s usmjeravanjem, a završna točka povezana s jednom podmrežom objašnjava zašto je kvar zone oborio cijelu uslugu.

Zabilježite i sigurnosne skupine priključene na svaku samostalno hostanu instancu. Ta su pravila dio modela pristupa i prva stvar koja tiho pukne kad netko ponovno izgradi instancu iz predloška.

Korak 3: podijelite odgovornosti

Upravljana usluga posjeduje flotu završnih točaka, njezino zakrpavanje i dostupnost unutar regije. Vi posjedujete upis identiteta, pravila autorizacije, mrežne putove iza završne točke, konfiguraciju zapisnika i odluku o tome koliko podmreža povezati.

Samostalno hostanje to obrće. Vi posjedujete gostujući operacijski sustav, VPN demon i njegovu konfiguraciju, certifikate i ključeve, sigurnosne kopije, nadzor i oporavak. EC2 sigurnosni model stavlja sigurnost gosta i aplikacije na korisnika, a VPN poslužitelj je gost kao i svaki drugi.

Zapišite podjelu kao tablicu s imenima u desnom stupcu. Ako se ničije ime ne nađe uz obnovu certifikata, to je nalaz i važniji je od razlike u cijeni po satu.

Korak 4: usporedite s radnim opterećenjem koje možete opisati

Trošak prati oblik, ne veličinu. Za upravljanu opciju brojite sate povezivanja završnih točaka, sate klijentskih veza, prijenos i usluge identiteta i zapisnika koje uključite. Za samostalno hostanje brojite računanje, pohranu, mrežu, licence i inženjersko vrijeme koje održava poslužitelj zakrpanim. Stavite oba skupa brojeva u jedan list s istim vremenskim horizontom. Trogodišnja usporedba koja zanemaruje sate zakrpavanja uvijek će favorizirati poslužitelj koji već posjedujete.

Usporedbe performansi traže istu disciplinu. Jedna interaktivna sesija radne površine, jedan veliki prijenos i pedeset istovremenih malih zahtjeva opterećuju različite dijelove puta: procesor za šifriranje, mrežne mogućnosti instance, vlastiti stog klijenta i destinaciju. Testirajte s reprezentativnim klijentima i istim zadatkom na oba dizajna.

Veća instanca nije dokaz da će prijenos biti brži, a jedna uspješna sesija nije plan kapaciteta. Svako naslijeđeno pričanje o obiteljima instanci tretirajte kao hipotezu za testiranje, a ne kao pravilo pri kupnji.

Korak 5: prijeđite s vraćanjem koje ste već izveli

Pokrenite obje završne točke paralelno na određeno razdoblje, prvo podijelite novi klijentski profil maloj grupi i ne dirajte pravila autorizacije stare završne točke dok grupa ne bude koristila novu za stvarni rad. Vraćanje je promjena profila, ne ponovna izgradnja, pa odlučite sada gdje stari profil živi.

Provjerite ovim redom: autentifikacija uspijeva, klijent dobiva očekivane rute, autorizirana destinacija odgovara, neautorizirana destinacija ne uspijeva, i zapisnici pokazuju oba događaja. Ako bilo koji korak ne uspije, zaustavite se i popravite taj korak umjesto da prijeđete na sljedeću grupu klijenata. Zapišite rezultat svake provjere, jer prelazak kojeg se sjećate samo kao «radilo je» ne može se otkloniti mjesec dana kasnije.

Nakon prelaska zakažite dosadne provjere: istek certifikata, broj povezivanja, pravila autorizacije koja više ne odgovaraju grupi i broj veza prema vašem očekivanju. Vodič za administraciju Client VPN-a referenca je za dijelove završne točke, autentifikacije i usmjeravanja koje ste konfigurirali.