AWS Client VPN әлде EC2-дегі VPN: операциялық нұсқаулық

Екі нұсқа да командаңызға қашықтан қатынау VPN-ін береді, сондықтан маңызды сұрақ қайсысы бар екенінде емес, қайсысын басқара алатыныңызда. Айырмашылық — түнгі сағат 3-те соңғы нүктеге кім ие және бірдеңе бұзылғанда қандай басқару тетіктеріне қол жеткізе аласыз. Төмендегі бес қадамды ретімен орындаңыз, өйткені әрқайсысы салыстыруды ерте аяқтауы мүмкін. Түгендеу қадамын өткізіп жіберу — командалардың екі рет көшуінің дәл жолы.

1-қадам: талапты шотқа дейін жазыңыз

Бір бетте бес факт керек: кім және неге қарсы аутентификация жасайды, қандай клиент платформалары жұмыс істеуі керек, қандай жеке межелерге қол жеткізуге болады, қандай қолжетімділікті уәде еттіңіз және трафик шын мәнінде қандай. Оларсыз әрбір кейінгі салыстыру функциялар тізімі туралы дауға айналады.

Межелер туралы нақты болыңыз. «VPC-ге қатынау» әдетте үш түрлі нәрсені білдіреді: VPC CIDR-і, теңестірілген желі және Transit Gateway артындағы жергілікті диапазон. Басқарылатын соңғы нүкте үшеуіне де жетеді, бірақ әрқайсысына маршрут пен авторизация ережесі қажет, және әрқайсысы талабыңыздағы бөлек жол.

2-қадам: қазірдің өзінде жұмыс істеп тұрғанын тізімдеңіз

Бірдеңе жобаламас бұрын бар соңғы нүктелерді және EC2-де орналастырылған кез келген серверді оның қауіпсіздік топтарымен бірге тізімдеңіз. Бұл шақырулар тек оқуға арналған және describe рұқсаттары бар шоттан орындауға қауіпсіз.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Шығысты клиенттер қазірдің өзінде жете алатын нәрсенің картасы ретінде оқыңыз. Жетіспейтін авторизация ережесі маршруттау мәселесіне ұқсайтын ақауды түсіндіреді, ал бір ішкі желіге байланған соңғы нүкте аймақ ақауы неліктен бүкіл қызметті құлатқанын түсіндіреді.

Кез келген өзіңіз орналастырған данаға тіркелген қауіпсіздік топтарын да жазып қойыңыз. Бұл ережелер қатынау моделінің бөлігі және біреу дананы үлгіден қайта құрғанда бірінші болып үнсіз бұзылады.

3-қадам: жауапкершіліктерді бөліңіз

Басқарылатын қызмет соңғы нүктелер паркіне, оның патчталуына және аймақ ішіндегі қолжетімділігіне ие. Сіз сәйкестік тіркеуіне, авторизация ережелеріне, соңғы нүктенің артындағы желілік жолдарға, журнал конфигурациясына және қанша ішкі желіні қосу туралы шешімге иесіз.

Өз бетінше орналастыру мұны кері айналдырады. Сіз қонақ операциялық жүйесіне, VPN демонына және оның конфигурациясына, сертификаттар мен кілттерге, резервтік көшірмелерге, мониторингке және қалпына келтіруге иесіз. EC2 қауіпсіздік моделі қонақ пен қолданба қауіпсіздігін тұтынушыға жүктейді, ал VPN сервері кез келген басқа қонақ сияқты қонақ.

Бөліністі оң жақ бағанда атаулармен кесте түрінде жазыңыз. Егер сертификаттарды жаңартудың қасында ешкімнің аты тұрмаса, бұл — негізгі тұжырым және ол сағаттық баға айырмашылығынан маңыздырақ.

4-қадам: сипаттай алатын жұмыс жүктемесімен салыстырыңыз

Шығын көлемге емес, пішінге ілеседі. Басқарылатын нұсқа үшін соңғы нүктелерді біріктіру сағаттарын, клиент қосылымдарының сағаттарын, тасымалдауды және қосқан сәйкестік пен журнал қызметтерін санаңыз. Өз бетінше орналастыру үшін есептеу, сақтау, желі, лицензиялар және серверді патчталған күйде ұстайтын инженерлік уақытты санаңыз. Екі сан жиынтығын бірдей уақыт көкжиегімен бір параққа салыңыз. Патчтау сағаттарын елемейтін үшжылдық салыстыру әрқашан сізде бар сервердің пайдасына болады.

Өнімділік салыстырулары да сол тәртіпті талап етеді. Бір интерактивті жұмыс үстелі сессиясы, бір үлкен тасымалдау және елу бір мезгілдегі шағын сұрау жолдың түрлі бөліктерін жүктейді: шифрлауға арналған процессор, дананың желілік мүмкіндігі, клиенттің өз стегі және меже. Өкілдік клиенттермен және екі дизайнда бірдей тапсырмамен сынаңыз.

Үлкенірек дана тасымалдаудың жылдамырақ болатынына дәлел емес, ал бір сәтті сессия — сыйымдылық жоспары емес. Дана отбасылары туралы мұраға қалған кез келген әңгімені сатып алу ережесі ретінде емес, тексерілетін болжам ретінде қабылдаңыз.

5-қадам: өзіңіз орындаған кері қайтарумен көшіңіз

Екі соңғы нүктені белгілі бір кезеңге қатар жүргізіңіз, жаңа клиент профилін әуелі шағын топқа таратыңыз және ескі соңғы нүктенің авторизация ережелерін топ жаңасын нақты жұмыста пайдаланғанша тиіспеңіз. Кері қайтару — профиль ауыстыру, қайта құру емес, сондықтан ескі профиль қайда тұратынын қазір шешіңіз.

Осы ретпен тексеріңіз: аутентификация сәтті өтеді, клиент күтілетін маршруттарды алады, рұқсат етілген меже жауап береді, рұқсат етілмеген меже сәтсіз аяқталады, және журналдар екі оқиғаны да көрсетеді. Қандай да бір қадам сәтсіз болса, келесі клиент тобына өтудің орнына тоқтап, сол қадамды түзетіңіз. Әр тексерудің нәтижесін жазыңыз, өйткені тек «істеді» деп есте қалған көшуді бір айдан кейін жөндеу мүмкін емес.

Көшудан кейін зеріктіретін тексерулерді жоспарлаңыз: сертификаттардың мерзімі, біріктірулер саны, енді топқа сәйкес келмейтін авторизация ережелері және күтуіңізге қарсы қосылымдар саны. Client VPN әкімшілендіру нұсқаулығы — конфигурациялаған соңғы нүкте, аутентификация және маршруттау бөліктері үшін анықтама.