AWS Client VPN, թե՞ VPN EC2-ի վրա. շահագործման ձեռնարկ

Երկու տարբերակն էլ ձեր թիմին տալիս են հեռավար մուտքի VPN, ուստի հետաքրքիր հարցը ոչ թե այն է, թե որն է գոյություն ունենում, այլ այն, թե որն եք դուք կարողանում շահագործել։ Տարբերությունը նրանում է, թե գիշերը ժամը 3-ին ով է տիրում վերջնակետին և ինչ հսկիչների հասանելիություն ունեք, երբ ինչ-որ բան կոտրվում է։ Անցեք ստորև բերված հինգ քայլերը հերթականությամբ, որովհետև դրանցից յուրաքանչյուրը կարող է վաղաժամ ավարտել համեմատությունը։ Գույքագրման քայլը բաց թողնելը հենց այն ճանապարհն է, որով թիմերը երկու անգամ միգրացիա են անում։

Քայլ 1: գրեք պահանջը մինչև հաշիվը

Ձեզ անհրաժեշտ են հինգ փաստ մեկ էջում. ով և ինչի դեմ է նույնականացնում, որ հաճախորդային հարթակները պետք է աշխատեն, որ մասնավոր նպատակակետերն են հասանելի, ինչ հասանելիություն եք խոստացել և ինչպիսին է երթևեկությունը իրականում։ Առանց դրանց յուրաքանչյուր հետագա համեմատություն վերածվում է գործառույթների ցանկի շուրջ վեճի։

Եղեք կոնկրետ նպատակակետերի հարցում։ «Մուտք VPC» արտահայտությունը սովորաբար նշանակում է երեք տարբեր բան՝ VPC-ի CIDR-ը, զուգակցված ցանցը և Transit Gateway-ի հետևում գտնվող տեղական տիրույթը։ Կառավարվող վերջնակետը հասնում է բոլոր երեքին, սակայն յուրաքանչյուրին պետք է երթուղի և լիազորման կանոն, և յուրաքանչյուրը ձեր պահանջի առանձին տողն է։

Քայլ 2: թվարկեք, ինչ արդեն աշխատում է

Նախքան ինչ-որ բան նախագծելը, թվարկեք գոյություն ունեցող վերջնակետերը և EC2-ում հոսթավորված ցանկացած սերվեր՝ իր անվտանգության խմբերով։ Այս կանչերը միայն ընթերցման են և անվտանգ են describe թույլտվություններով հաշվից։

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Կարդացեք արդյունքը որպես քարտեզ այն բանի, ինչին հաճախորդներն արդեն հասնում են։ Բացակայող լիազորման կանոնը բացատրում է երթուղային խնդրի նման թվացող ձախողումը, իսկ մեկ ենթացանցին կապված վերջնակետը բացատրում է, թե ինչու գոտու ձախողումը տապալեց ամբողջ ծառայությունը։

Գրանցեք նաև ցանկացած ինքնուրույն հոսթավորված ինստանսին կցված անվտանգության խմբերը։ Այդ կանոնները մուտքի մոդելի մասն են, և հենց դրանք են առաջինը լուռ կոտրվում, երբ ինչ-որ մեկը ինստանսը վերակառուցում է կաղապարից։

Քայլ 3: բաժանեք պատասխանատվությունը

Կառավարվող ծառայությունը տիրում է վերջնակետերի պարկին, դրանց կարկատմանը և տարածաշրջանում դրանց հասանելիությանը։ Դուք տիրում եք ինքնության գրանցմանը, լիազորման կանոններին, վերջնակետի հետևի ցանցային ուղիներին, մատյանների կարգավորումներին և քանի ենթացանց միացնելու որոշմանը։

Ինքնուրույն հոսթինգը շրջում է սա։ Դուք տիրում եք հյուր օպերացիոն համակարգին, VPN դեմոնին և դրա կարգավորումներին, վկայագրերին և բանալիներին, պահուստային պատճեններին, մոնիտորինգին և վերականգնմանը։ EC2-ի անվտանգության մոդելը հյուրի և հավելվածի անվտանգությունը դնում է հաճախորդի վրա, իսկ VPN սերվերը հյուր է ինչպես ցանկացած այլը։

Գրեք բաժանումը աղյուսակի տեսքով՝ անուններով աջ սյունակում։ Եթե վկայագրերի թարմացման կողքին ոչ ոքի անուն չհայտնվի, դա է հիմնական հայտնագործությունը, և այն ավելի կարևոր է, քան ժամային գնի տարբերությունը։

Քայլ 4: համեմատեք նկարագրելի աշխատանքային բեռի հետ

Ծախսը հետևում է ձևին, ոչ թե չափին։ Կառավարվող տարբերակի համար հաշվեք վերջնակետերի միացման ժամերը, հաճախորդների միացումների ժամերը, փոխանցումը և ձեր միացրած ինքնության ու մատյանի ծառայությունները։ Ինքնուրույն հոսթինգի համար հաշվեք հաշվողական ռեսուրսները, պահեստը, ցանցը, արտոնագրերը և ինժեներական այն ժամանակը, որը սերվերը պահում է կարկատված։ Դրեք երկու թվերի հավաքածուները մեկ թերթում՝ նույն ժամանակային հորիզոնով։ Երեք տարվա համեմատությունը, որը անտեսում է կարկատման ժամերը, միշտ կնպաստի այն սերվերին, որն արդեն ունեք։

Արտադրողականության համեմատությունները պահանջում են նույն կարգապահությունը։ Մեկ ինտերակտիվ աշխատասեղանի սեսիա, մեկ մեծ փոխանցում և հիսուն միաժամանակյա փոքր հարցում ծանրաբեռնում են ուղու տարբեր մասերը՝ պրոցեսորը գաղտնագրման համար, ինստանսի ցանցային հնարավորությունը, հաճախորդի սեփական սթեքը և նպատակակետը։ Փորձարկեք ներկայացուցչական հաճախորդներով և նույն առաջադրանքով երկու նախագծերում։

Ավելի մեծ ինստանսը փոխանցման արագության ապացույց չէ, իսկ մեկ հաջող սեսիան հզորության պլան չէ։ Ինստանսների ընտանիքների մասին ժառանգած ցանկացած խոսակցություն ընդունեք որպես փորձարկման վարկած, ոչ որպես գնման կանոն։

Քայլ 5: անցեք ձեր արդեն փորձարկած հետադարձով

Գործարկեք երկու վերջնակետերը զուգահեռ որոշակի ժամանակահատվածում, նոր հաճախորդի պրոֆիլը նախ բաժանեք փոքր խմբի, և հին վերջնակետի լիազորման կանոնները թողեք անձեռնմխելի, մինչև խումբը նորը կօգտագործի իրական աշխատանքում։ Հետադարձը պրոֆիլի փոխում է, ոչ վերակառուցում, ուստի հիմա որոշեք, թե որտեղ է ապրում հին պրոֆիլը։

Ստուգեք այս հերթականությամբ. նույնականացումը հաջողվում է, հաճախորդը ստանում է սպասվող երթուղիները, լիազորված նպատակակետը պատասխանում է, չլիազորված նպատակակետը ձախողվում է, և մատյանները ցույց են տալիս երկու դեպքն էլ։ Եթե որևէ քայլ ձախողվի, կանգ առեք և ուղղեք հենց այդ քայլը, փոխանակ անցնեք հաջորդ հաճախորդների խմբին։ Գրեք յուրաքանչյուր ստուգման արդյունքը, որովհետև միայն «աշխատեց» ձևով հիշվող անցումը մեկ ամիս անց հնարավոր չէ վրիպազերծել։

Անցումից հետո պլանավորեք ձանձրալի ստուգումները. վկայագրերի ժամկետը, միացումների քանակը, լիազորման կանոնները, որոնք այլևս չեն համապատասխանում խմբի, և կապերի քանակը ձեր սպասումների դիմաց։ Client VPN-ի կառավարման ուղեցույցը հղումն է ձեր կարգավորած վերջնակետի, նույնականացման և երթուղավորման մասերի համար։