AWS Client VPN atau VPN pada EC2: buku panduan operasi

Kedua-dua pilihan memberi pasukan anda VPN akses jauh, jadi soalan yang menarik bukanlah yang mana wujud tetapi yang mana anda boleh kendalikan. Bezanya ialah siapa yang memiliki titik akhir pada pukul 3 pagi dan kawalan mana yang boleh anda capai apabila sesuatu rosak. Lakukan lima langkah di bawah mengikut urutan, kerana setiap satu boleh menamatkan perbandingan lebih awal. Melangkau langkah inventori ialah cara pasukan berakhir dengan migrasi dua kali.

Langkah 1: tulis keperluan sebelum bil

Anda perlukan lima fakta pada satu halaman: siapa yang mengesahkan identiti dan terhadap apa, platform klien mana yang mesti berfungsi, destinasi peribadi mana yang boleh dicapai, ketersediaan apa yang anda janjikan dan bagaimana trafik sebenarnya kelihatan. Tanpa itu, setiap perbandingan kemudian menjadi perdebatan tentang senarai ciri.

Bersikap konkrit tentang destinasi. «Akses ke VPC» biasanya bermaksud tiga perkara berbeza: CIDR VPC, rangkaian yang di-peer dan julat on-premises di belakang Transit Gateway. Titik akhir terurus boleh mencapai ketiga-tiganya, tetapi setiap satu memerlukan laluan dan peraturan kebenaran, dan setiap satu ialah baris berasingan dalam keperluan anda.

Langkah 2: senaraikan apa yang sudah berjalan

Sebelum mereka bentuk apa-apa, senaraikan titik akhir sedia ada dan mana-mana pelayan yang dihoskan pada EC2 bersama kumpulan keselamatannya. Panggilan ini hanya baca dan selamat dijalankan daripada akaun dengan kebenaran describe.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Baca output sebagai peta apa yang klien sudah boleh capai. Peraturan kebenaran yang hilang menjelaskan kegagalan yang kelihatan seperti masalah penghalaan, dan titik akhir yang dikaitkan dengan satu subnet menjelaskan mengapa kegagalan zon menjatuhkan seluruh perkhidmatan.

Catat juga kumpulan keselamatan yang dilampirkan pada mana-mana instans yang dihoskan sendiri. Peraturan itu ialah sebahagian daripada model akses, dan itulah perkara pertama yang rosak secara senyap apabila seseorang membina semula instans daripada templat.

Langkah 3: bahagikan tanggungjawab

Perkhidmatan terurus memiliki armada titik akhir, tampalan dan ketersediaannya dalam wilayah. Anda memiliki pendaftaran identiti, peraturan kebenaran, laluan rangkaian di belakang titik akhir, konfigurasi log dan keputusan berapa banyak subnet untuk dikaitkan.

Hos sendiri membalikkan itu. Anda memiliki sistem pengendalian tetamu, daemon VPN dan konfigurasinya, sijil dan kunci, sandaran, pemantauan dan pemulihan. Model keselamatan EC2 meletakkan keselamatan tetamu dan aplikasi pada pelanggan, dan pelayan VPN ialah tetamu seperti mana-mana tetamu lain.

Tulis pembahagian sebagai jadual dengan nama dalam lajur kanan. Jika tiada nama di sebelah pembaharuan sijil, itulah penemuan, dan ia lebih penting daripada perbezaan kos sejam.

Langkah 4: bandingkan dengan beban kerja yang boleh anda huraikan

Kos mengikut bentuk, bukan saiz. Untuk pilihan terurus, kira jam perkaitan titik akhir, jam sambungan klien, pemindahan serta perkhidmatan identiti dan log yang anda dayakan. Untuk hos sendiri, kira pengiraan, storan, rangkaian, lesen dan masa kejuruteraan yang memastikan pelayan ditampal. Letakkan kedua-dua set nombor dalam satu helaian dengan ufuk masa yang sama. Perbandingan tiga tahun yang mengabaikan jam tampalan akan sentiasa memihak kepada pelayan yang sudah anda miliki.

Perbandingan prestasi memerlukan disiplin yang sama. Satu sesi desktop interaktif, satu pemindahan besar dan lima puluh permintaan kecil serentak menekan bahagian laluan yang berbeza: CPU untuk penyulitan, keupayaan rangkaian instans, tindanan klien itu sendiri dan destinasi. Uji dengan klien yang mewakili dan tugasan yang sama pada kedua-dua reka bentuk.

Instans yang lebih besar bukan bukti bahawa pemindahan akan lebih pantas, dan satu sesi yang berjaya bukan pelan kapasiti. Anggap mana-mana cerita warisan tentang keluarga instans sebagai hipotesis untuk diuji, bukan peraturan pembelian.

Langkah 5: beralih dengan rollback yang sudah anda jalankan

Jalankan kedua-dua titik akhir secara selari untuk tempoh yang ditetapkan, edarkan profil klien baharu kepada kumpulan kecil dahulu, dan biarkan peraturan kebenaran titik akhir lama tidak disentuh sehingga kumpulan itu menggunakan yang baharu dalam kerja sebenar. Rollback ialah pertukaran profil, bukan pembinaan semula, jadi putuskan sekarang di mana profil lama berada.

Sahkan mengikut urutan ini: pengesahan identiti berjaya, klien menerima laluan yang dijangka, destinasi dibenarkan menjawab dan destinasi tidak dibenarkan gagal, dan log menunjukkan kedua-dua peristiwa. Jika mana-mana langkah gagal, berhenti dan betulkan langkah itu daripada beralih kepada kumpulan klien seterusnya. Catat hasil setiap semakan, kerana peralihan yang hanya diingati sebagai «ia berjaya» tidak boleh dinyahpepijat sebulan kemudian.

Selepas peralihan, jadualkan semakan yang membosankan: tamat tempoh sijil, bilangan perkaitan, peraturan kebenaran yang tidak lagi sepadan dengan kumpulan dan bilangan sambungan berbanding jangkaan anda. Panduan pentadbiran Client VPN ialah rujukan untuk bahagian titik akhir, pengesahan identiti dan penghalaan yang anda konfigurasikan.