AWS Client VPN же EC2деги VPN: операциялык колдонмо

Эки вариант тең командаңызга алыскы кирүү VPN берет, ошондуктан маанилүү суроо кайсы бар экендигинде эмес, кайсын иштете аларыңызда. Айырма түнкү саат 3тө акыркы чекитке ким ээ жана бир нерсе бузулганда кайсы башкаруу каражаттарына жете аларыңызда. Төмөнкү беш кадамды ирети менен аткарыңыз, анткени ар бири салыштырууну эрте бүтүрүшү мүмкүн. Инвентаризация кадамын өткөрүп жиберүү — командалардын эки жолу көчүшүнүн так жолу.

1-кадам: талапты эсептен мурун жазыңыз

Бир баракта беш факт керек: ким жана эмнеге каршы аутентификация кылат, кайсы клиент платформалары иштеши керек, кайсы жеке багыттарга жетүүгө болот, кандай жеткиликтүүлүктү убада кылдыңыз жана трафик чындыгында кандай. Аларсыз ар бир кийинки салыштыруу функциялар тизмеси тууралуу талашка айланат.

Багыттар боюнча так болуңуз. «VPCге кирүү» адатта үч түрдүү нерсени билдирет: VPC CIDR, теңдештирилген тармак жана Transit Gateway артындагы жергиликтүү диапазон. Башкарылуучу акыркы чекит үчөөнө тең жетет, бирок ар бирине маршрут жана авторизация эрежеси керек, жана ар бири талабыңыздагы өзүнчө сап.

2-кадам: мурунтан иштеп жатканды тизмелеңиз

Бир нерсени долбоорлоодон мурун, бар болгон акыркы чекиттерди жана EC2де жайгаштырылган ар кандай серверди анын коопсуздук топтору менен тизмелеңиз. Бул чакыруулар окууга гана арналган жана describe уруксаттары бар эсептен аткарууга коопсуз.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Чыгарылышты кардарлар мурунтан эмнеге жете аларынын картасы катары окуңуз. Жетишпеген авторизация эрежеси маршруттоо маселесине окшош катаны түшүндүрөт, ал эми бир ички тармакка байланган акыркы чекит аймактын катасы эмне үчүн бүт кызматты кулаттанын түшүндүрөт.

Өзүңүз жайгаштырган ар кандай инстанска тиркелген коопсуздук топторун да жазып коюңуз. Бул эрежелер кирүү моделинин бөлүгү жана бирөө инстансты шаблондон кайра курганда биринчи болуп унчукпай бузулат.

3-кадам: жоопкерчиликтерди бөлүңүз

Башкарылуучу кызмат акыркы чекиттердин паркына, анын патчталышына жана аймак ичиндеги жеткиликтүүлүгүнө ээ. Сиз инсандык каттоого, авторизация эрежелерине, акыркы чекиттин артындагы тармак жолдоруна, журнал конфигурациясына жана канча ички тармакты туташтыруу чечимине ээсиз.

Өзүңүз жайгаштыруу муну тескери бурат. Сиз конок операциялык системасына, VPN демонуна жана анын конфигурациясына, сертификаттар менен ачкычтарга, камдык көчүрмөлөргө, мониторингге жана калыбына келтирүүгө ээсиз. EC2 коопсуздук модели конок жана колдонмо коопсуздугун кардарга жүктөйт, VPN сервери башка ар кандай конок сыяктуу конок.

Бөлүштүрүүнү оң мамычада аттар менен таблица катары жазыңыз. Эгер сертификаттарды жаңыртуунун жанында эч кимдин аты турбаса, бул — негизги тыянак жана ал сааттык баа айырмасынан маанилүүрөөк.

4-кадам: сүрөттөй алган жумуш жүгү менен салыштырыңыз

Чыгым көлөмгө эмес, формага ээрчийт. Башкарылуучу вариант үчүн акыркы чекиттерди бириктирүү сааттарын, клиент байланыштарынын сааттарын, өткөрүүнү жана күйгүзгөн инсандык менен журнал кызматтарын санаңыз. Өзүңүз жайгаштыруу үчүн эсептөө, сактоо, тармак, лицензиялар жана серверди патчталган абалда кармаган инженердик убакытты санаңыз. Эки сан топтомун бирдей убакыт горизонту менен бир баракка салыңыз. Патчтоо сааттарын этибарга албаган үч жылдык салыштыруу дайыма сизде бар сервердин пайдасына болот.

Өндүрүмдүүлүк салыштыруулары да ошол тартипти талап кылат. Бир интерактивдүү иш такта сессиясы, бир чоң өткөрүү жана элүү бир мезгилдеги кичине сурам жолдун ар башка бөлүктөрүн жүктөйт: шифрлөө үчүн процессор, инстанстын тармактык мүмкүнчүлүгү, клиенттин өз стеги жана багыт. Өкүлдүк клиенттер менен жана эки долбоордо бирдей тапшырма менен сынаңыз.

Чоңураак инстанс өткөрүү ылдамыраак болоруна далил эмес, ал эми бир ийгиликтүү сессия — сыйымдуулук планы эмес. Инстанс үй-бүлөлөрү тууралуу мураска калган ар кандай сөздү сатып алуу эрежеси катары эмес, текшерилүүчү божомол катары кабыл алыңыз.

5-кадам: өзүңүз аткарган артка кайтаруу менен өтүңүз

Эки акыркы чекитти белгилүү мезгилге жарыш иштетиңиз, жаңы клиент профилин адегенде кичине топко таратыңыз жана эски акыркы чекиттин авторизация эрежелерин топ жаңысын чыныгы иште колдонмокчу болгонго чейин тийбеңиз. Артка кайтаруу — профилди алмаштыруу, кайра куруу эмес, ошондуктан эски профиль кайда жашай турганын азыр чечиңиз.

Ушул тартипте текшериңиз: аутентификация ийгиликтүү өтөт, клиент күтүлгөн маршруттарды алат, уруксат берилген багыт жооп берет, уруксат берилбеген багыт ийгиликсиз болот, жана журналдар эки окуяны тең көрсөтөт. Кайсы бир кадам ийгиликсиз болсо, кийинки клиент тобуна өтүүнүн ордуна токтоп, ошол кадамды оңдоңуз. Ар бир текшерүүнүн жыйынтыгын жазыңыз, анткени «иштеди» деп гана эсте калган өтүүнү бир айдан кийин оңдоо мүмкүн эмес.

Өтүүдөн кийин кызыксыз текшерүүлөрдү пландаңыз: сертификаттардын мөөнөтү, бириктирүүлөрдүн саны, эми топко туура келбеген авторизация эрежелери жана күтүүңүзгө каршы туташуулардын саны. Client VPN администрациялоо колдонмосу — конфигурациялаган акыркы чекит, аутентификация жана маршруттоо бөлүктөрү үчүн шилтеме.