AWS Client VPN vai VPN uz EC2: ekspluatācijas rokasgrāmata

Abas iespējas komandai dod attālinātās piekļuves VPN, tāpēc interesantais jautājums nav kurš pastāv, bet kuru jūs spējat uzturēt. Atšķirība ir tajā, kam pieder galapunkts pulksten 3 naktī un kuras vadības ierīces jūs sasniedzat, kad kaut kas salūzt. Izpildiet piecus soļus zemāk pēc kārtas, jo katrs no tiem var beigt salīdzinājumu agrāk. Inventāra soļa izlaišana ir tieši tas, kā komandas migrē divreiz.

1. solis: uzrakstiet prasību pirms rēķina

Jums vajag piecus faktus vienā lappusē: kas un pret ko autentificējas, kuras klienta platformas jāstrādā, kuri privātie galamērķi ir sasniedzami, kādu pieejamību jūs apsolījāt un kā satiksme patiešām izskatās. Bez tiem katra vēlākā salīdzināšana pārvēršas strīdā par funkciju sarakstu.

Esiet konkrēti par galamērķiem. «Piekļuve VPC» parasti nozīmē trīs dažādas lietas: VPC CIDR, savienoto tīklu un vietējo diapazonu aiz Transit Gateway. Pārvaldītais galapunkts sasniedz visus trīs, bet katram vajag maršrutu un autorizācijas noteikumu, un katrs ir atsevišķa rinda jūsu prasībā.

2. solis: uzskaitiet, kas jau darbojas

Pirms kaut ko projektējat, uzskaitiet esošos galapunktus un jebkuru EC2 mitinātu serveri ar tā drošības grupām. Šie izsaukumi ir tikai lasāmi un droši izpildāmi no konta ar describe atļaujām.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Lasiet izvadi kā karti tam, ko klienti jau sasniedz. Trūkstošs autorizācijas noteikums izskaidro kļūmi, kas izskatās kā maršrutēšanas problēma, un galapunkts, kas saistīts ar vienu apakštīklu, izskaidro, kāpēc zonas kļūme nogāza visu pakalpojumu.

Pierakstiet arī drošības grupas, kas pievienotas jebkurai pašu mitinātai instancei. Šie noteikumi ir piekļuves modeļa daļa, un tie ir pirmie, kas klusi salūzt, kad kāds pārbūvē instanci no veidnes.

3. solis: sadaliet atbildību

Pārvaldītais pakalpojums pārvalda galapunktu parku, tā ielāpu uzstādīšanu un pieejamību reģionā. Jūs pārvaldāt identitātes reģistrāciju, autorizācijas noteikumus, tīkla ceļus aiz galapunkta, žurnālu konfigurāciju un lēmumu par to, cik apakštīklu pievienot.

Pašu mitināšana to apgriež. Jūs pārvaldāt viesa operētājsistēmu, VPN dēmonu un tā konfigurāciju, sertifikātus un atslēgas, dublējumkopijas, uzraudzību un atjaunošanu. EC2 drošības modelis viesa un lietojumprogrammas drošību uzliek klientam, un VPN serveris ir viesis kā jebkurš cits.

Pierakstiet sadalījumu kā tabulu ar vārdiem labajā kolonnā. Ja blakus sertifikātu atjaunošanai neparādās neviens vārds, tas ir galvenais atradums, un tas ir svarīgāks par stundas cenas starpību.

4. solis: salīdziniet ar darba slodzi, ko spējat aprakstīt

Izmaksas seko formai, nevis izmēram. Pārvaldītajam variantam skaitiet galapunktu saistīšanas stundas, klientu savienojumu stundas, pārraidi un iespējotos identitātes un žurnālu pakalpojumus. Pašu mitināšanai skaitiet skaitļošanu, krātuvi, tīklu, licences un inženiera laiku, kas uztur serveri ielāpotu. Ielieciet abus skaitļu kopumus vienā lapā ar vienu laika horizontu. Trīs gadu salīdzinājums, kas ignorē ielāpu stundas, vienmēr dos priekšroku serverim, kas jums jau ir.

Veiktspējas salīdzinājumiem vajadzīga tāda pati disciplīna. Viena interaktīva darbvirsmas sesija, viens liels pārvietojums un piecdesmit vienlaicīgi mazi pieprasījumi noslogo dažādas ceļa daļas: procesoru šifrēšanai, instances tīkla iespējas, paša klienta steku un galamērķi. Testējiet ar reprezentatīviem klientiem un to pašu uzdevumu abos risinājumos.

Lielāka instance nav pierādījums, ka pārvietojums būs ātrāks, un viena veiksmīga sesija nav jaudas plāns. Jebkuru mantoto stāstu par instanču saimēm uztveriet kā pārbaudāmu hipotēzi, nevis pirkšanas noteikumu.

5. solis: pārejiet ar atritināšanu, ko jau esat izpildījuši

Darbiniet abus galapunktus paralēli noteiktu periodu, jauno klienta profilu vispirms izdaliet nelielai grupai un atstājiet vecā galapunkta autorizācijas noteikumus neskartus, līdz grupa jauno izmanto reālā darbā. Atritināšana ir profila maiņa, nevis pārbūve, tāpēc izlemiet tagad, kur dzīvo vecais profils.

Pārbaudiet šādā secībā: autentifikācija izdodas, klients saņem gaidītos maršrutus, autorizēts galamērķis atbild un neautorizēts galamērķis neizdodas, un žurnāli rāda abus notikumus. Ja kāds solis neizdodas, apstājieties un izlabojiet šo soli, nevis pārejiet pie nākamās klientu grupas. Pierakstiet katra pārbaudes rezultātu, jo pāreju, ko atceras tikai kā «strādāja», pēc mēneša nevar atkļūdot.

Pēc pārejas ieplānojiet garlaicīgās pārbaudes: sertifikātu derīguma termiņš, saistījumu skaits, autorizācijas noteikumi, kas vairs neatbilst grupai, un savienojumu skaits pret jūsu gaidām. Client VPN administrēšanas rokasgrāmata ir atsauce uz konfigurētajām galapunkta, autentifikācijas un maršrutēšanas daļām.