AWS Client VPN или VPN на EC2: оперативен прирачник

Двете опции му даваат на тимот VPN за далечински пристап, па интересното прашање не е која постои, туку која можете да ја одржувате. Разликата е кој го поседува крајниот пункт во 3 часот наутро и до кои контроли стигнувате кога нешто ќе се расипе. Поминете ги петте чекори подолу по ред, бидејќи секој може да ја заврши споредбата порано. Прескокнувањето на чекорот со инвентар е токму начинот на кој тимовите мигрираат двапати.

Чекор 1: напишете го барањето пред сметката

Ви требаат пет факти на една страница: кој и против што се автентицира, кои клиентски платформи мора да работат, кои приватни дестинации се достапни, каква достапност ветивте и како всушност изгледа сообраќајот. Без тоа секоја подоцнежна споредба станува расправија за список на функции.

Бидете конкретни за дестинациите. „Пристап до VPC“ обично значи три различни работи: CIDR на VPC, вкрстена мрежа и локален опсег зад Transit Gateway. Управуваниот краен пункт стигнува до сите три, но секоја бара рута и правило за авторизација, и секоја е посебен ред во вашето барање.

Чекор 2: наведете што веќе работи

Пред да дизајнирате било што, наведете ги постојните крајни пунктови и секој сервер хостиран на EC2 заедно со неговите безбедносни групи. Овие повици се само за читање и безбедни за извршување од сметка со describe дозволи.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Читајте го излезот како карта на она до што клиентите веќе стигнуваат. Правило за авторизација што недостасува објаснува дефект што изгледа како проблем со рутирање, а краен пункт поврзан со една подмрежа објаснува зошто дефект на зона ја урна целата услуга.

Запишете ги и безбедносните групи прикачени на секоја самостојно хостирана инстанца. Тие правила се дел од моделот за пристап и се првото нешто што тивко се расипува кога некој ја преградува инстанцата од шаблон.

Чекор 3: поделете ги одговорностите

Управуваната услуга ги поседува крајните пунктови, нивното закрпување и достапноста во регионот. Вие ги поседувате регистрацијата на идентитети, правилата за авторизација, мрежните патеки зад крајниот пункт, конфигурацијата на дневниците и одлуката колку подмрежи да се поврзат.

Самостојното хостирање го превртува тоа. Вие го поседувате гостинскиот оперативен систем, VPN демонот и неговата конфигурација, сертификатите и клучевите, резервните копии, набљудувањето и обновувањето. Безбедносниот модел на EC2 ја става безбедноста на гостинот и апликацијата врз клиентот, а VPN серверот е гостин како секој друг.

Запишете ја поделбата како табела со имиња во десната колона. Ако до обновувањето на сертификатите не застане ничие име, тоа е наодот и тој е поважен од разликата по час.

Чекор 4: споредете со работно оптоварување што можете да го опишете

Трошокот ја следи формата, не големината. За управуваната опција броете часови на поврзување на крајни пунктови, часови на клиентски врски, пренос и услугите за идентитет и дневници што ги вклучувате. За самостојно хостирање броете пресметување, складирање, мрежа, лиценци и инженерското време што го држи серверот закрпен. Ставете ги двете групи бројки во еден лист со ист временски хоризонт. Тригодишна споредба што ги игнорира часовите за закрпување секогаш ќе го фаворизира серверот што веќе го имате.

Споредбите на перформанси бараат иста дисциплина. Една интерактивна сесија на работна површина, еден голем пренос и педесет истовремени мали барања оптоваруваат различни делови од патеката: процесорот за шифрирање, мрежните можности на инстанцата, сопствениот стек на клиентот и дестинацијата. Тестирајте со репрезентативни клиенти и иста задача во двата дизајна.

Поголема инстанца не е доказ дека преносот ќе биде побрз, а една успешна сесија не е план за капацитет. Секое наследено раскажување за фамилии на инстанци третирајте го како хипотеза за проверка, а не како правило за купување.

Чекор 5: преминете со враќање што веќе сте го извеле

Стартувајте ги двата крајни пункта паралелно за определен период, новиот клиентски профил прво разделете го на мала група и не ги допирајте правилата за авторизација на стариот краен пункт додека групата не го користи новиот во вистинска работа. Враќањето е промена на профил, не преградување, затоа одлучете сега каде живее стариот профил.

Проверете по овој ред: автентикацијата успева, клиентот ги добива очекуваните рути, авторизирана дестинација одговара, неавторизирана дестинација не успева, и дневниците ги покажуваат двата настана. Ако некој чекор не успее, запрете и поправете го тој чекор наместо да преминете на следната група клиенти. Запишете го резултатот од секоја проверка, бидејќи преминување што се памети само како „работеше“ не може да се отстрани месец подоцна.

По преминувањето закажете ги здодевните проверки: истекот на сертификатите, бројот на поврзувања, правилата за авторизација што веќе не одговараат на група и бројот на врски наспроти вашето очекување. Водичот за администрација на Client VPN е референца за деловите за краен пункт, автентикација и рутирање што ги конфигуриравте.