AWS Client VPN ar VPN EC2: eksploatavimo vadovas

Abu variantai komandai suteikia nuotolinės prieigos VPN, todėl įdomus klausimas ne kuris egzistuoja, o kurį galite eksploatuoti. Skirtumas tas, kam priklauso galinis taškas 3 valandą nakties ir kokias valdymo priemones pasieksite, kai kažkas sugenda. Atlikite penkis žingsnius žemiau iš eilės, nes kiekvienas gali baigti palyginimą anksčiau. Inventoriaus žingsnio praleidimas yra būtent tai, dėl ko komandos migruoja du kartus.

1 žingsnis: parašykite reikalavimą prieš sąskaitą

Jums reikia penkių faktų viename puslapyje: kas ir prieš ką autentifikuojasi, kurios kliento platformos turi veikti, kurie privatūs tikslai pasiekiami, kokį prieinamumą pažadėjote ir kaip iš tikrųjų atrodo srautas. Be jų kiekvienas vėlesnis palyginimas virsta ginču dėl funkcijų sąrašo.

Būkite konkretūs dėl tikslų. „Prieiga prie VPC“ paprastai reiškia tris skirtingus dalykus: VPC CIDR, susietą tinklą ir vietinį diapazoną už Transit Gateway. Valdomas galinis taškas pasiekia visus tris, bet kiekvienam reikia maršruto ir autorizacijos taisyklės, ir kiekvienas yra atskira eilutė jūsų reikalavime.

2 žingsnis: išvardykite, kas jau veikia

Prieš ką nors projektuodami, išvardykite esamus galinius taškus ir bet kurį EC2 talpinamą serverį su jo saugos grupėmis. Šie kvietimai tik skaitomi ir saugūs vykdyti iš paskyros su describe leidimais.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Skaitykite išvestį kaip žemėlapį to, ką klientai jau pasiekia. Trūkstama autorizacijos taisyklė paaiškina gedimą, kuris atrodo kaip maršrutizavimo problema, o galinis taškas, susietas su vienu potinkliu, paaiškina, kodėl zonos gedimas nugriovė visą paslaugą.

Užsirašykite ir saugos grupes, prijungtas prie bet kurios savarankiškai talpinamos instancijos. Tos taisyklės yra prieigos modelio dalis, ir jos pirmos tyliai sugenda, kai kas nors atkuria instanciją iš šablono.

3 žingsnis: pasidalinkite atsakomybę

Valdoma paslauga valdo galinių taškų parką, jo atnaujinimą ir prieinamumą regione. Jūs valdote tapatybių registraciją, autorizacijos taisykles, tinklo kelius už galinio taško, žurnalų konfigūraciją ir sprendimą, kiek potinklių prijungti.

Savarankiškas talpinimas tai apverčia. Jūs valdote svečio operacinę sistemą, VPN tarnybą ir jos konfigūraciją, sertifikatus ir raktus, atsargines kopijas, stebėjimą ir atkūrimą. EC2 saugos modelis svečio ir programos saugumą priskiria klientui, o VPN serveris yra svečias kaip ir bet kuris kitas.

Užrašykite pasidalijimą lentele su vardais dešiniajame stulpelyje. Jei prie sertifikatų atnaujinimo neatsiranda nė vieno vardo, tai yra pagrindinė išvada, ir ji svarbesnė už valandinį skirtumą.

4 žingsnis: palyginkite su darbo krūviu, kurį mokate aprašyti

Kaina seka forma, o ne dydžiu. Valdomam variantui skaičiuokite galinių taškų susiejimo valandas, klientų prisijungimų valandas, perdavimą ir įjungtas tapatybės bei žurnalų paslaugas. Savarankiškam talpinimui skaičiuokite skaičiavimo resursus, saugyklą, tinklą, licencijas ir inžinerinį laiką, kuris palaiko serverį atnaujintą. Sudėkite abu skaičių rinkinius į vieną lapą su tuo pačiu laiko horizontu. Trejų metų palyginimas, kuris ignoruoja atnaujinimo valandas, visada bus naudingas serveriui, kurį jau turite.

Našumo palyginimams reikia tos pačios disciplinos. Viena interaktyvi darbalaukio sesija, vienas didelis perdavimas ir penkiasdešimt vienu metu vykstančių mažų užklausų apkrauna skirtingas kelio dalis: procesorių šifravimui, instancijos tinklo galimybes, paties kliento dėklą ir tikslą. Testuokite su reprezentatyviais klientais ir ta pačia užduotimi abiejuose sprendimuose.

Didesnė instancija neįrodo, kad perdavimas bus greitesnis, o viena sėkminga sesija nėra talpos planas. Bet kokį paveldėtą pasakojimą apie instancijų šeimas traktuokite kaip hipotezę, kurią reikia patikrinti, o ne kaip pirkimo taisyklę.

5 žingsnis: pereikite su atsukimu, kurį jau išbandėte

Paleiskite abu galinius taškus lygiagrečiai nustatytą laikotarpį, naują kliento profilį pirmiausia paskirstykite mažai grupei ir nepalieskite senojo galinio taško autorizacijos taisyklių, kol grupė nenaudos naujojo tikrame darbe. Atsukimas yra profilio pakeitimas, o ne perstatymas, todėl nuspręskite dabar, kur gyvena senasis profilis.

Tikrinkite šia tvarka: autentifikacija pavyksta, klientas gauna laukiamus maršrutus, autorizuotas tikslas atsako, o neautorizuotas tikslas nepavyksta, ir žurnalai rodo abu įvykius. Jei kuris nors žingsnis nepavyksta, sustokite ir pataisykite tą žingsnį, o ne pereikite prie kitos klientų grupės. Užrašykite kiekvieno patikrinimo rezultatą, nes perkėlimo, kuris prisimenamas tik kaip „veikė“, po mėnesio nebeįmanoma derinti.

Po perkėlimo suplanuokite nuobodžius patikrinimus: sertifikatų galiojimas, susiejimų skaičius, autorizacijos taisyklės, kurios nebeatitinka grupės, ir ryšių skaičius prieš jūsų lūkesčius. Client VPN administravimo vadovas yra nuoroda į sukonfigūruotas galinio taško, autentifikacijos ir maršrutizavimo dalis.