AWS Client VPN eða VPN á EC2: handbók fyrir rekstur

Báðir valkostir gefa teyminu þínu VPN fyrir fjarlegan aðgang, svo áhugaverða spurningin er ekki hvor þeirra er til heldur hvorri þú getur stýrt. Munurinn er hver á endapunktinn klukkan 3 að nóttu og hvaða stýringar þú nærð í þegar eitthvað bilar. Farðu í gegnum fimm skrefin hér að neðan í röð, því hvert þeirra getur endað samanburðinn snemma. Að sleppa birgðaskrefinu er einmitt leiðin sem gerir það að verkum að teymi flytja tvisvar.

Skref 1: skrifaðu kröfuna áður en reikningurinn kemur

Þú þarft fimm staðreyndir á einni síðu: hver auðkennir sig og gegn hverju, hvaða biðlarakerfi verða að virka, hvaða einkaaðfangsefni eru aðgengileg, hvaða framboð þú lofaðir og hvernig umferðin lítur í raun út. Án þess verður hver síðari samanburður að rifrildi um eiginleikalista.

Vertu ákveðin(n) varðandi áfangastaði. „Aðgangur að VPC“ þýðir venjulega þrjá mismunandi hluti: CIDR VPC-sins, jafningjanet og staðbundið svið bak við Transit Gateway. Stýrður endapunktur nær öllum þremur, en hver þeirra þarf slóð og heimildarreglu, og hver þeirra er sér lína í kröfunni þinni.

Skref 2: skráðu það sem þegar er í gangi

Áður en þú hannar eitthvað skaltu lista núverandi endapunkta og hvern þann þjón sem er hýstur á EC2 ásamt öryggishópum hans. Þessi köll eru aðeins lesin og örugg að keyra frá reikningi með describe-heimildum.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Lestu úttakið sem kort af því sem biðlarar ná þegar til. Vantar heimildarreglu útskýrir bilun sem lítur út eins og slóðavandamál, og endapunktur tengdur einu undirneti útskýrir hvers vegna svæðisbilun felldi alla þjónustuna.

Skráðu líka öryggishópana sem eru tengdir hverri sjálfshýstri tilviki. Þessar reglur eru hluti aðgangslíkansins, og þær eru það fyrsta sem brotnar hljóðlaust þegar einhver endurbyggir tilvik úr sniðmáti.

Skref 3: skiptu ábyrgðinni

Stýrða þjónustan á endapunktaflotann, plástrun hans og framboð innan svæðisins. Þú átt auðkennisskráningu, heimildarreglur, netleiðirnar bak við endapunktinn, stillingar skráninga og ákvörðunina um hversu mörg undirnet á að tengja.

Sjálfshýsing snýr þessu við. Þú átt gestastýrikerfið, VPN-púkann og stillingar hans, skírteini og lykla, afrit, vöktun og endurheimt. Öryggislíkan EC2 leggur öryggi gests og forrits á viðskiptavininn, og VPN-þjónn er gestur eins og hver annar.

Skrifaðu skiptinguna sem töflu með nöfnum í hægri dálki. Ef ekkert nafn lendir við hlið endurnýjunar skírteinis er það niðurstaðan, og hún skiptir meira máli en klukkustundarmunurinn.

Skref 4: berðu saman við vinnuálag sem þú getur lýst

Kostnaður fylgir lögun, ekki stærð. Fyrir stýrða valkostinn skaltu telja klukkustundir tengingar endapunkta, klukkustundir biðlaratenginga, flutning og þá auðkennis- og skráningarþjónustu sem þú virkjar. Fyrir sjálfshýsingu skaltu telja reikniafl, geymslu, net, leyfi og þann verkfræðitíma sem heldur þjóninum plástruðum. Settu báða talnasettin í eitt blað með sama tímasjóndeildarhring. Þriggja ára samanburður sem hunsar plástrunartíma mun alltaf hygla þeim þjóni sem þú átt nú þegar.

Afkastasamanburður krefst sömu aga. Ein gagnvirk skjáborðslota, ein stór flutningur og fimmtíu samtímis litlar beiðnir leggja álag á mismunandi hluta leiðarinnar: örgjörvann fyrir dulkóðun, netgetu tilviksins, eigin stafla biðlarans og áfangastaðinn. Prófaðu með dæmigerðum biðlarum og sama verkefni í báðum hönnunum.

Stærra tilvik er ekki sönnun þess að flutningur verði hraðari, og ein farsæl lota er ekki afkastagetuáætlun. Meðhöndlaðu hvaða arftekna sögu um tilvikafjölskyldur sem tilgátu til að prófa, ekki sem kaupreglu.

Skref 5: skiptu yfir með afturhvarfi sem þú hefur keyrt

Keyrðu báða endapunkta samhliða í skilgreint tímabil, dreifðu nýju biðlarasniði fyrst til lítils hóps og láttu heimildarreglur gamla endapunktsins ósnortnar þar til hópurinn hefur notað það nýja í raunverulegri vinnu. Afturhvarf er sniðskipti, ekki endurbygging, svo ákveddu núna hvar gamla sniðið býr.

Staðfestu í þessari röð: auðkenning tekst, biðlarinn fær væntanlegar slóðir, heimilaður áfangastaður svarar og óheimilaður áfangastaður mistekst, og skráningar sýna báða atburði. Ef eitthvert skref mistekst skaltu stöðva og laga það skref í stað þess að fara í næsta biðlarahóp. Skrifaðu niðurstöðu hverrar prófunar, því ekki er hægt að kemba yfirfærslu sem er aðeins munað eftir sem „það virkaði“ mánuði síðar.

Eftir yfirfærsluna skaltu tímasetja leiðinlegu prófanirnar: gildistími skírteina, fjöldi tenginga, heimildarreglur sem passa ekki lengur við hóp og fjöldi tenginga á móti væntingum þínum. Stjórnunarhandbók Client VPN er viðmiðið fyrir endapunkta-, auðkenningar- og slóðahlutana sem þú stilltir.