AWS Client VPN അല്ലെങ്കിൽ EC2-യിലെ VPN: ഒരു പ്രവർത്തന കൈപ്പുസ്തകം

രണ്ട് ഓപ്ഷനുകളും നിങ്ങളുടെ ടീമിന് റിമോട്ട് ആക്സസ് VPN നൽകുന്നു, അതിനാൽ പ്രധാന ചോദ്യം ഏതാണ് നിലവിലുള്ളത് എന്നതല്ല, മറിച്ച് ഏതാണ് നിങ്ങൾക്ക് പ്രവർത്തിപ്പിക്കാൻ കഴിയുക എന്നതാണ്. വ്യത്യാസം രാത്രി 3 മണിക്ക് എൻഡ്പോയിന്റ് ആരുടെ ഉടമസ്ഥതയിലാണ് എന്നതിലും, എന്തെങ്കിലും തകരുമ്പോൾ ഏത് നിയന്ത്രണങ്ങളിൽ എത്താം എന്നതിലുമാണ്. താഴെയുള്ള അഞ്ച് ഘട്ടങ്ങൾ ക്രമത്തിൽ ചെയ്യുക, കാരണം ഓരോന്നും താരതമ്യം നേരത്തെ അവസാനിപ്പിക്കാം. ഇൻവെന്ററി ഘട്ടം ഒഴിവാക്കുന്നതാണ് ടീമുകൾ രണ്ടുതവണ കുടിയേറുന്നതിന്റെ വഴി.

ഘട്ടം 1: ബിൽ വരുന്നതിന് മുൻപ് ആവശ്യകത എഴുതുക

ഒരു പേജിൽ അഞ്ച് വസ്തുതകൾ വേണം: ആരാണ് എന്തിനെതിരെ ആധികാരികമാക്കുന്നത്, ഏത് ക്ലൈന്റ് പ്ലാറ്റ്ഫോമുകൾ പ്രവർത്തിക്കണം, ഏത് സ്വകാര്യ ലക്ഷ്യസ്ഥാനങ്ങൾ എത്താവുന്നതാണ്, ഏത് ലഭ്യതയാണ് വാഗ്ദാനം ചെയ്തത്, ട്രാഫിക്ക് യഥാർത്ഥത്തിൽ എങ്ങനെയിരിക്കുന്നു. ഇവയില്ലാതെ ഓരോ തുടർന്നുള്ള താരതമ്യവും സവിശേഷതാ പട്ടികയെക്കുറിച്ചുള്ള തർക്കമാകും.

ലക്ഷ്യസ്ഥാനങ്ങളെക്കുറിച്ച് കൃത്യമാകുക. «VPC-യിലേക്കുള്ള ആക്സസ്» സാധാരണയായി മൂന്ന് വ്യത്യസ്ത കാര്യങ്ങളെ അർത്ഥമാക്കുന്നു: VPC CIDR, പിയർ ചെയ്ത നെറ്റ്വർക്ക്, Transit Gateway-യുടെ പിന്നിലെ ഓൺ-പ്രെമൈസസ് ശ്രേണി. മാനേജുചെയ്ത എൻഡ്പോയിന്റിന് മൂന്നിലും എത്താം, പക്ഷേ ഓരോന്നിനും ഒരു റൂട്ടും അനുമതി നിയമവും വേണം, ഓരോന്നും നിങ്ങളുടെ ആവശ്യകതയിൽ പ്രത്യേക വരിയാണ്.

ഘട്ടം 2: ഇപ്പോൾ പ്രവർത്തിക്കുന്നത് പട്ടികപ്പെടുത്തുക

എന്തെങ്കിലും രൂപകൽപ്പന ചെയ്യുന്നതിന് മുൻപ്, നിലവിലുള്ള എൻഡ്പോയിന്റുകളും EC2-യിൽ ഹോസ്റ്റ് ചെയ്യുന്ന ഏത് സെർവറും അതിന്റെ സുരക്ഷാ ഗ്രൂപ്പുകളോടെ പട്ടികപ്പെടുത്തുക. ഈ കോളുകൾ വായനയ്ക്ക് മാത്രമുള്ളവയാണ്, describe അനുമതികളുള്ള അക്കൗണ്ടിൽ നിന്ന് പ്രവർത്തിപ്പിക്കുന്നത് സുരക്ഷിതമാണ്.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

ക്ലൈന്റുകൾക്ക് ഇപ്പോൾ എത്താവുന്ന കാര്യങ്ങളുടെ ഭൂപടമായി ഔട്ട്പുട്ട് വായിക്കുക. കാണാത്ത അനുമതി നിയമം റൂട്ടിംഗ് പ്രശ്നമായി തോന്നുന്ന പരാജയം വിശദീകരിക്കുന്നു, ഒരു സബ്നെറ്റുമായി ബന്ധിപ്പിച്ച എൻഡ്പോയിന്റ് ഒരു സോൺ പരാജയം എന്തുകൊണ്ട് മുഴുവൻ സേവനവും വീഴ്ത്തി എന്ന് വിശദീകരിക്കുന്നു.

സ്വയം ഹോസ്റ്റ് ചെയ്ത ഏതെങ്കിലും ഇൻസ്റ്റൻസിൽ ഘടിപ്പിച്ച സുരക്ഷാ ഗ്രൂപ്പുകളും രേഖപ്പെടുത്തുക. ആ നിയമങ്ങൾ ആക്സസ് മാതൃകയുടെ ഭാഗമാണ്, ആരെങ്കിലും ഒരു ടെംപ്ലേറ്റിൽ നിന്ന് ഇൻസ്റ്റൻസ് പുനർനിർമ്മിക്കുമ്പോൾ ആദ്യം നിശബ്ദമായി തകരുന്നത് അവയാണ്.

ഘട്ടം 3: ഉത്തരവാദിത്വങ്ങൾ വിഭജിക്കുക

മാനേജുചെയ്ത സേവനം എൻഡ്പോയിന്റ് ഫ്ലീറ്റിന്റെയും അതിന്റെ പാച്ചിംഗിന്റെയും പ്രദേശത്തിനുള്ളിലെ ലഭ്യതയുടെയും ഉടമയാണ്. ഐഡന്റിറ്റി രജിസ്ട്രേഷൻ, അനുമതി നിയമങ്ങൾ, എൻഡ്പോയിന്റിന് പിന്നിലെ നെറ്റ്വർക്ക് പാതകൾ, ലോഗിംഗ് കോൺഫിഗറേഷൻ, എത്ര സബ്നെറ്റുകൾ ബന്ധിപ്പിക്കണം എന്ന തീരുമാനം എന്നിവയുടെ ഉടമ നിങ്ങളാണ്.

സ്വയം ഹോസ്റ്റിംഗ് ഇത് തലകീഴാക്കുന്നു. ഗസ്റ്റ് ഓപ്പറേറ്റിംഗ് സിസ്റ്റം, VPN ഡീമൺ അതിന്റെ കോൺഫിഗറേഷൻ, സർട്ടിഫിക്കറ്റുകളും കീകളും, ബാക്കപ്പുകൾ, നിരീക്ഷണം, വീണ്ടെടുക്കൽ എന്നിവയുടെ ഉടമ നിങ്ങളാണ്. EC2 സുരക്ഷാ മാതൃക ഗസ്റ്റിന്റെയും അപ്ലിക്കേഷന്റെയും സുരക്ഷ ഉപഭോക്താവിൽ ഇടുന്നു, VPN സെർവർ മറ്റേതൊരു ഗസ്റ്റ് പോലെയും ഗസ്റ്റാണ്.

വിഭജനം വലത് കോളത്തിൽ പേരുകളുള്ള ഒരു പട്ടികയായി എഴുതുക. സർട്ടിഫിക്കറ്റ് പുതുക്കലിന് അരികിൽ ആരുടെയും പേര് വന്നില്ലെങ്കിൽ അതാണ് പ്രധാന കണ്ടെത്തൽ, മണിക്കൂർ ചെലവിലെ വ്യത്യാസത്തേക്കാൾ അത് പ്രധാനമാണ്.

ഘട്ടം 4: വിവരിക്കാൻ കഴിയുന്ന ഒരു വർക്ക്ലോഡുമായി താരതമ്യം ചെയ്യുക

ചെലവ് വലുപ്പത്തെയല്ല, ആകൃതിയെ പിന്തുടരുന്നു. മാനേജുചെയ്ത ഓപ്ഷനിൽ എൻഡ്പോയിന്റ് ബന്ധിപ്പിക്കൽ മണിക്കൂറുകൾ, ക്ലൈന്റ് കണക്ഷൻ മണിക്കൂറുകൾ, കൈമാറ്റം, നിങ്ങൾ പ്രവർത്തനക്ഷമമാക്കുന്ന ഐഡന്റിറ്റി, ലോഗിംഗ് സേവനങ്ങൾ എന്നിവ എണ്ണുക. സ്വയം ഹോസ്റ്റിംഗിൽ കമ്പ്യൂട്ട്, സ്റ്റോറേജ്, നെറ്റ്വർക്കിംഗ്, ലൈസൻസുകൾ, സെർവറിനെ പാച്ച് ചെയ്ത് നിലനിർത്തുന്ന എൻജിനീയറിംഗ് സമയം എന്നിവ എണ്ണുക. രണ്ട് സംഖ്യാ കൂട്ടങ്ങളും ഒരേ സമയ പരിധിയോടെ ഒരു ഷീറ്റിൽ വയ്ക്കുക. പാച്ചിംഗ് മണിക്കൂറുകൾ അവഗണിക്കുന്ന മൂന്ന് വർഷത്തെ താരതമ്യം എപ്പോഴും നിങ്ങൾക്ക് ഇപ്പോൾ ഉള്ള സെർവറിന് അനുകൂലമാകും.

പ്രകടന താരതമ്യങ്ങൾക്കും അതേ അച്ചടക്കം വേണം. ഒരു ഇന്ററാക്ടീവ് ഡെസ്ക്ടോപ്പ് സെഷൻ, ഒരു വലിയ കൈമാറ്റം, ഒരേസമയം അമ്പത് ചെറിയ അഭ്യർത്ഥനകൾ എന്നിവ പാതയുടെ വ്യത്യസ്ത ഭാഗങ്ങളിൽ സമ്മർദ്ദം ചെലുത്തുന്നു: എൻക്രിപ്ഷനുള്ള CPU, ഇൻസ്റ്റൻസിന്റെ നെറ്റ്വർക്ക് ശേഷി, ക്ലൈന്റിന്റെ സ്വന്തം സ്റ്റാക്ക്, ലക്ഷ്യസ്ഥാനം. പ്രതിനിധി ക്ലൈന്റുകളോടെയും രണ്ട് രൂപകൽപ്പനകളിലും ഒരേ ജോലിയോടെയും പരീക്ഷിക്കുക.

വലിയ ഇൻസ്റ്റൻസ് കൈമാറ്റം വേഗത്തിലാകുമെന്നതിന്റെ തെളിവല്ല, ഒരു വിജയകരമായ സെഷൻ ശേഷി പദ്ധതിയുമല്ല. ഇൻസ്റ്റൻസ് കുടുംബങ്ങളെക്കുറിച്ച് പാരമ്പര്യമായി കിട്ടിയ ഏത് വാദവും വാങ്ങൽ നിയമമായല്ല, പരിശോധിക്കേണ്ട സിദ്ധാന്തമായി കാണുക.

ഘട്ടം 5: നിങ്ങൾ ഇതിനകം പ്രവർത്തിപ്പിച്ച റോൾബാക്കോടെ മാറുക

നിർദ്ദിഷ്ട കാലയളവിൽ രണ്ട് എൻഡ്പോയിന്റുകളും സമാന്തരമായി പ്രവർത്തിപ്പിക്കുക, പുതിയ ക്ലൈന്റ് പ്രൊഫൈൽ ആദ്യം ഒരു ചെറിയ ഗ്രൂപ്പിന് വിതരണം ചെയ്യുക, ഗ്രൂപ്പ് പുതിയത് യഥാർത്ഥ ജോലിയിൽ ഉപയോഗിക്കുന്നതുവരെ പഴയ എൻഡ്പോയിന്റിന്റെ അനുമതി നിയമങ്ങളിൽ തൊടരുത്. റോൾബാക്ക് പ്രൊഫൈൽ മാറ്റമാണ്, പുനർനിർമ്മാണമല്ല, അതിനാൽ പഴയ പ്രൊഫൈൽ എവിടെയാണെന്ന് ഇപ്പോൾ തീരുമാനിക്കുക.

ഈ ക്രമത്തിൽ പരിശോധിക്കുക: ആധികാരികമാക്കൽ വിജയിക്കുന്നു, ക്ലൈന്റിന് പ്രതീക്ഷിച്ച റൂട്ടുകൾ ലഭിക്കുന്നു, അനുമതിയുള്ള ലക്ഷ്യസ്ഥാനം പ്രതികരിക്കുന്നു, അനുമതിയില്ലാത്ത ലക്ഷ്യസ്ഥാനം പരാജയപ്പെടുന്നു, ലോഗുകൾ രണ്ട് സംഭവങ്ങളും കാണിക്കുന്നു. ഏതെങ്കിലും ഘട്ടം പരാജയപ്പെട്ടാൽ, അടുത്ത ക്ലൈന്റ് ഗ്രൂപ്പിലേക്ക് പോകുന്നതിന് പകരം നിർത്തി ആ ഘട്ടം ശരിയാക്കുക. ഓരോ പരിശോധനയുടെയും ഫലം എഴുതിവയ്ക്കുക, കാരണം «പ്രവർത്തിച്ചു» എന്ന് മാത്രം ഓർമ്മയിൽ നിൽക്കുന്ന മാറ്റം ഒരു മാസത്തിന് ശേഷം ഡീബഗ് ചെയ്യാനാവില്ല.

മാറ്റത്തിന് ശേഷം മടുപ്പിക്കുന്ന പരിശോധനകൾ ഷെഡ്യൂൾ ചെയ്യുക: സർട്ടിഫിക്കറ്റ് കാലഹരണം, ബന്ധിപ്പിക്കലുകളുടെ എണ്ണം, ഇനി ഒരു ഗ്രൂപ്പുമായും പൊരുത്തപ്പെടാത്ത അനുമതി നിയമങ്ങൾ, നിങ്ങളുടെ പ്രതീക്ഷയ്ക്കെതിരെയുള്ള കണക്ഷനുകളുടെ എണ്ണം. Client VPN അഡ്മിനിസ്ട്രേഷൻ ഗൈഡ് നിങ്ങൾ കോൺഫിഗർ ചെയ്ത എൻഡ്പോയിന്റ്, ആധികാരികമാക്കൽ, റൂട്ടിംഗ് ഭാഗങ്ങൾക്കുള്ള റഫറൻസാണ്.