AWS Client VPN oder e VPN op EC2: en Betribshandbuch

Déi zwou Optioune ginn Ärem Team e VPN fir Fernzougrëff, dofir ass déi interessant Fro net wéi eng et gëtt, mä wéi eng Dir bedreiwe kënnt. Den Ënnerscheed ass, wien um 3 Auer moies den Endpunkt besëtzt a wéi eng Kontrollen Dir erreecht, wann eppes futt ass. Gitt déi fënnef Schrëtt hei drënner an der Rei duerch, well jidderee kann de Verglach fréi ophalen. Den Inventar-Schrëtt ze sprangen ass just de Wee, wéi Teams zweemol migréieren.

Schrëtt 1: d’Ufuerderung virun der Rechnung schreiwen

Dir braucht fënnef Fakten op enger Säit: wien sech géintwat authentifizéiert, wéi eng Client-Plattformen funktionéiere mussen, wéi eng privat Destinatiounen erreechbar sinn, wéi eng Disponibilitéit Dir versprach hutt a wéi den Trafik tatsächlech ausgesäit. Ouni dat gëtt all spéider Verglach eng Diskussioun iwwer eng Funktiounslëscht.

Sidd konkret bei den Destinatiounen. «Zougrëff op d’VPC» heescht meeschtens dräi verschidden Saachen: den CIDR vun der VPC, en gepeerelt Netzwierk an eng lokal Range hannert engem Transit Gateway. En verwalteten Endpunkt erreecht all dräi, awer jiddwereen brauch eng Route an eng Autorisatiounsregel, an jiddwereen ass eng eege Zeil an Ärer Ufuerderung.

Schrëtt 2: oplëschten, wat scho leeft

Ier Dir eppes designt, lëscht d’existéierend Endpunkten an all Server, deen op EC2 gehost gëtt, mat senge Sécherheetsgruppen op. Dës Opruff sinn nëmme Lieszen a sécher vun engem Kont mat describe-Rechter.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Liest d’Ausgab als eng Kaart vun deem, wat d’Cliente schonn erreechen. Eng feelend Autorisatiounsregel erkläert en Ausfall, deen wéi e Routingproblem ausgesäit, an en Endpunkt, deen un een eenzelt Subnetz gebonnen ass, erkläert firwat e Zonenaausfall de ganze Service ëmgeworf huet.

Notéiert och d’Sécherheetsgruppen, déi un enger selbst gehosteter Instanz hänken. Dës Regelen sinn Deel vum Zougriffsmodell, an si sinn dat Éischt, wat stëll futt geet, wann een eng Instanz aus enger Schabloun nei baut.

Schrëtt 3: d’Verantwortunge verdeelen

De verwalteten Service besëtzt d’Endpunktflott, hir Patchversuergung an hir Disponibilitéit bannent der Regioun. Dir besitzt d’Identitéitsanmeldung, d’Autorisatiounsregelen, d’Netzwierkweeër hannert dem Endpunkt, d’Log-Konfiguratioun an d’Decisioun, wéi vill Subnetzen ugeschloss ginn.

Selbst hosten dréint dat ëm. Dir besitzt d’Gaascht-Betribssystem, den VPN-Daemon an seng Konfiguratioun, d’Zertifikaten an d’Schlësselen, d’Sécherungskopien, d’Iwwerwaachung an d’Erhuelung. Dem EC2 säi Sécherheetsmodell leet d’Gaascht- an d’Applikatiounssécherheet beim Client of, an e VPN-Server ass e Gaascht wéi all aneren.

Schreift d’Verdeelung als Tabell mat Nimm an der rietser Kolonn op. Wann nieft der Zertifikatserneierung keen Numm steet, ass dat de Befund, an en ass wichteger wéi den Ënnerscheed pro Stonn.

Schrëtt 4: mat enger Aarbechtslaascht vergläichen, déi Dir beschreiwe kënnt

D’Käschte follegen der Form, net der Gréisst. Fir déi verwalt Optioun zielt Dir Endpunkt-Zouuerdnungsstonnen, Client-Verbindungsstonnen, Transfer an d’Identitéits- a Log-Servicer, déi Dir aktivéiert. Fir d’Selbsthosten zielt Dir Rechenleeschtung, Späicher, Netzwierk, Lizenzen an déi Ingenieurszäit, déi de Server gepatcht hält. Setzt déi zwou Zuelenreihen an ee Blat mat deem selwechten Zäithorizont. En Dräijoresverglach, deen d’Patchstonnen ignoréiert, wäert ëmmer de Server favoriséieren, deen Dir schonn hutt.

Performance-Vergläicher brauchen déiselwecht Disziplin. Eng interaktiv Desktop-Sessioun, een groussen Transfer a fofzeg gläichzäiteg kleng Ufroen belaascht verschidden Deeler vum Wee: d’CPU fir d’Verschlësselung, d’Netzwierkfäegkeet vun der Instanz, de Stack vum Client selwer an d’Destinatioun. Test mat representativen Cliente mat der selwechter Aufgab an zwou Designen.

Eng méi grouss Instanz ass keen Beweis, datt en Transfer méi séier gëtt, an eng erfollegräich Sessioun ass keen Kapazitéitsplang. Behandelt all ierwen Erzielung iwwer Instanzfamilljen als Hypothese fir ze testen, net als Kaafregel.

Schrëtt 5: mat engem Réckroll ëmstiegen, deen Dir schonn ausgefouert hutt

Loosst béid Endpunkten eng definéiert Zäit parallel lafen, verdeelt de neie Clientprofil fir d’éischt un eng kleng Grupp a loosst d’Autorisatiounsregelen vum ale Endpunkt onberéiert, bis d’Grupp dee Neien an echter Aarbecht benotzt huet. De Réckroll ass e Profilwiessel, keen Neibau, also decidéiert elo, wou den ale Profil läit.

Iwwerpréift an dëser Rei: d’Authentifizéierung geléngt, de Client kritt déi erwaart Routen, eng autoriséiert Destinatioun äntwert an eng net autoriséiert Destinatioun feelt, an d’Loge weisen déi zwou Evenementer. Wann ee Schrëtt feelt, stoppt a verbessert dee Schrëtt, amplaz op déi nächst Clientgrupp ze goen. Schreift d’Resultat vun all Kontroll op, well een Ëmstieg, un deen een sech nëmmen als «et huet funktionéiert» erënnert, ee Mount méi spéit net méi kann debuggen.

No dem Ëmstieg plangt déi langweileg Kontrollen: d’Zertifikatskaducitéit, d’Zuel vun den Zouuerdnungen, Autorisatiounsregelen, déi net méi zu enger Grupp passen, an d’Zuel vun de Verbindungen géint Är Erwaardung. De Client VPN Administratiounsguide ass d’Referenz fir d’Endpunkt-, Authentifizéierungs- an Routingdeeler, déi Dir konfiguréiert hutt.