AWS Client VPN эсвэл EC2 дээрх VPN: ашиглалтын гарын авлага

Хоёр сонголт ч багт алсын хандалтын VPN өгдөг тул чухал асуулт аль нь байгаа биш, харин аль нь таны ажиллуулж чадах нь юм. Ялгаа нь шөнийн 3 цагт төгсгөлийн цэгийг хэн эзэмших, ямар нэгэн зүйл эвдрэхэд ямар удирдлагын хэрэгсэлд хүрэхэд оршино. Доорх таван алхмыг дарааллаар нь гүйцэтгээрэй, учир нь алхам бүр харьцуулалтыг эрт дуусгаж болно. Бараа материалын алхмыг алгасах нь багуудыг хоёр удаа шилжихэд хүргэдэг зам юм.

1-р алхам: шаардлагыг нэхэмжлэхээс өмнө бичээрэй

Нэг хуудсанд таван баримт хэрэгтэй: хэн, юуны эсрэг баталгаажуулах, ямар клиент платформууд ажиллах ёстой, ямар хувийн чиглэлд хүрэх боломжтой, ямар хүртээмжийг амласан, трафик бодит байдалд хэрхэн харагдаж байгаа. Эдгээргүйгээр дараагийн харьцуулалт бүр функцүүдийн жагсаалтын маргаан болно.

Чиглэлийн тухайд тодорхой байгаарай. «VPC-д хандах» гэдэг нь ихэвчлэн гурван өөр зүйлийг илэрхийлдэг: VPC-ийн CIDR, хосолсон сүлжээ, Transit Gateway-ийн ард байх локал хүрээ. Удирдлагатай төгсгөлийн цэг гурвуулаад хүрдэг боловч тус бүрд маршрут, зөвшөөрлийн дүрэм хэрэгтэй бөгөөд тус бүр таны шаардлагад тусдаа мөр болно.

2-р алхам: аль хэдийн ажиллаж байгааг жагсаа

Ямар нэгэн зүйл зохион бүтээхээс өмнө одоо байгаа төгсгөлийн цэгүүд болон EC2 дээр байршуулсан аливаа серверийг аюулгүй байдлын бүлгүүдийн хамт жагсаа. Эдгээр дуудлага зөвхөн унших бөгөөд describe зөвшөөрөлтэй бүртгэлээс ажиллуулахад аюулгүй.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Гаралтыг клиентүүд аль хэдийн юунд хүрч байгаагийн зураг мэт уншаарай. Дутуу зөвшөөрлийн дүрэм нь маршрутын асуудал мэт харагдах доголдлыг тайлбарлаж, нэг дэд сүлжээнд холбогдсон төгсгөлийн цэг нь бүсийн доголдол яагаад бүх үйлчилгээг унагасныг тайлбарлана.

Өөрөө байршуулсан аливаа инстансд хавсаргасан аюулгүй байдлын бүлгүүдийг ч тэмдэглээрэй. Эдгээр дүрэм нь хандалтын загварын хэсэг бөгөөд хэн нэгэн инстансыг загвараас дахин бүтээхэд хамгийн түрүүнд чимээгүйгээр эвдэрдэг.

3-р алхам: хариуцлагыг хуваа

Удирдлагатай үйлчилгээ нь төгсгөлийн цэгүүдийн парк, тэдгээрийн засварын шинэчлэл, бүс нутаг дахь хүртээмжийг эзэмшинэ. Та таних тэмдгийн бүртгэл, зөвшөөрлийн дүрэм, төгсгөлийн цэгийн ардах сүлжээний зам, логны тохиргоо, хэдэн дэд сүлжээ холбох шийдвэрийг эзэмшине.

Өөрөө байршуулах нь үүнийг эргүүлнэ. Та зочны үйлдлийн систем, VPN демон болон түүний тохиргоо, гэрчилгээ болон түлхүүр, нөөц хуулбар, хяналт, сэргээлтийг эзэмшине. EC2-ийн аюулгүй байдлын загвар зочин болон програмын аюулгүй байдлыг харилцагчид үүрүүлдэг бөгөөд VPN сервер нь бусад л зочин шиг зочин юм.

Хуваарилалтыг баруун баганад нэрс бүхий хүснэгт болгон бичээрэй. Гэрчилгээ шинэчлэхийн хажууд хэний ч нэр байхгүй бол энэ нь гол дүгнэлт бөгөөд цагийн үнийн зөрүүнээс илүү чухал.

4-р алхам: тодорхойлж чадах ажлын ачаалалтай харьцуул

Зардал хэмжээг биш, хэлбэрийг дагадаг. Удирдлагатай хувилбарт төгсгөлийн цэг холболтын цаг, клиент холболтын цаг, дамжуулалт, таны идэвхжүүлсэн таних тэмдэг болон логны үйлчилгээг тоол. Өөрөө байршуулахад тооцоолол, хадгалалт, сүлжээ, лиценз, серверийг засвартай байлгах инженерийн цагийг тоол. Хоёр тооны багцыг ижил хугацааны хүрээтэй нэг хуудсанд хий. Засварын цагийг үл тоомсорлосон гурван жилийн харьцуулалт үргэлж таны аль хэдийн эзэмшиж буй серверийн талд байх болно.

Гүйцэтгэлийн харьцуулалтад ч мөн адил сахилга бат хэрэгтэй. Нэг интерактив ширээний сесс, нэг том дамжуулалт, тавь зэрэгцээ жижиг хүсэлт нь замын өөр өөр хэсгүүдэд ачаалал өгдөг: шифрлэлтийн процессор, инстансын сүлжээний чадвар, клиентийн өөрийн стек, очих газар. Төлөөлөх клиентүүдтэй, хоёр загварт ижил ажлаар туршаарай.

Том инстанс дамжуулалт хурдан болно гэдгийн баталгаа биш, нэг амжилттай сесс нь хүчин чадлын төлөвлөгөө биш. Инстансын гэр бүлийн тухай өвлөн авсан аливаа яриаг худалдан авалтын дүрэм биш, шалгах таамаглал гэж үзээрэй.

5-р алхам: өөрөө гүйцэтгэсэн буцаалттайгаар шилж

Хоёр төгсгөлийн цэгийг тодорхой хугацаанд зэрэгцүүлэн ажиллуул, шинэ клиентийн профайлыг эхлээд жижиг бүлэгт тараа, бүлэг шинийг бодит ажилд ашиглах хүртэл хуучин төгсгөлийн цэгийн зөвшөөрлийн дүрэмд хүрч болохгүй. Буцаалт нь профайл солих, дахин бүтээх биш тул хуучин профайл хаана байхыг одоо шийдээрэй.

Энэ дарааллаар шалгаарай: баталгаажуулалт амжилттай, клиент хүлээгдэж буй маршрутуудыг хүлээн авна, зөвшөөрөгдсөн очих газар хариулж, зөвшөөрөлгүй очих газар бүтэлгүйтнэ, логууд хоёр үйл явдлыг хоёуланг нь харуулна. Аль нэг алхам бүтэлгүйтвэл дараагийн клиентийн бүлэг рүү шилжихийн оронд зогсоод тэр алхмыг засаарай. Шалгалт бүрийн үр дүнг бичээрэй, учир нь зөвхөн «ажилласан» гэж санагдах шилжилтийг сарын дараа дибаг хийх боломжгүй.

Шилжилтийн дараа уйтгартай шалгалтуудыг төлөвлө: гэрчилгээний хугацаа, холболтын тоо, бүлэгтэй нийцэхээ больсон зөвшөөрлийн дүрэм, таны хүлээлтэд харшуулан холболтын тоо. Client VPN-ийн удирдлагын гарын авлага нь таны тохируулсан төгсгөлийн цэг, баталгаажуулалт, маршрутын хэсгүүдийн лавлагаа юм.