AWS Client VPN jew VPN fuq EC2: manwal operattiv

Ħames passi biex tagħżel bejn AWS Client VPN u VPN awto-ospitat fuq EC2, bil-verifiki tal-CLI, it-tqassim tar-responsabbiltajiet, il-bidla u r-rollback.

Iż-żewġ għażliet jagħtu lit-tim tiegħek VPN għall-aċċess mill-bogħod, allura l-mistoqsija interessanti mhix liema waħda teżisti iżda liema waħda tista’ topera. Id-differenza hija min jippossjedi l-punt tat-tmiem fit-3 ta’ filgħodu u liema kontrolli tista’ tilħaq meta xi ħaġa tinqasam. Mexxi l-ħames passi hawn taħt fl-ordni, għax kull wieħed jista’ jtemm il-paragun kmieni. Li taqbeż il-pass tal-inventarju huwa eżattament kif it-timijiet jispiċċaw jimigraw darbtejn.

Pass 1: ikteb ir-rekwiżit qabel il-kont

Għandek bżonn ħames fatti fuq paġna waħda: min jawtentika u kontra xiex, liema pjattaformi tal-klijent iridu jaħdmu, liema destinazzjonijiet privati huma aċċessibbli, liema disponibbiltà wegħdt u kif id-dejta fil-fatt tidher. Mingħajr dawn, kull paragun aktar tard isir argument dwar lista ta’ karatteristiċi.

Kun konkret dwar id-destinazzjonijiet. «Aċċess għall-VPC» normalment ifisser tliet affarijiet differenti: is-CIDR tal-VPC, netwerk peer u medda on-premises wara Transit Gateway. Punt tat-tmiem ġestit jista’ jilħaq it-tlieta, iżda kull wieħed jeħtieġ rotta u regola ta’ awtorizzazzjoni, u kull wieħed huwa linja separata fir-rekwiżit tiegħek.

Pass 2: elenka dak li diġà qed jaħdem

Qabel tiddisinja xi ħaġa, elenka l-punti tat-tmiem eżistenti u kull server ospitat fuq EC2 flimkien mal-gruppi tas-sigurtà tiegħu. Dawn is-sejħiet huma qari biss u siguri li jitħaddmu minn kont b’permessi describe.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Aqra l-output bħala mappa ta’ dak li l-klijenti diġà jistgħu jilħqu. Regola ta’ awtorizzazzjoni nieqsa tispjega falliment li jidher bħala problema ta’ routing, u punt tat-tmiem assoċjat ma’ subnet waħda jispjega għaliex falliment ta’ żona waqqa’ s-servizz kollu.

Innota wkoll il-gruppi tas-sigurtà mehmuża ma’ kwalunkwe istanza awto-ospitata. Dawk ir-regoli huma parti mill-mudell ta’ aċċess, u huma l-ewwel ħaġa li tinqasam fis-skiet meta xi ħadd jerġa’ jibni istanza minn mudell.

Pass 3: aqsam ir-responsabbiltajiet

Is-servizz ġestit jippossjedi l-flotta tal-punti tat-tmiem, l-irqajja tagħha u d-disponibbiltà tagħha fir-reġjun. Int tippossjedi r-reġistrazzjoni tal-identità, ir-regoli ta’ awtorizzazzjoni, il-mogħdijiet tan-netwerk wara l-punt tat-tmiem, il-konfigurazzjoni tal-log u d-deċiżjoni dwar kemm subnets għandhom jiġu assoċjati.

L-ospitar awtonomu jibdel dan. Int tippossjedi s-sistema operattiva tal-mistieden, id-daemon VPN u l-konfigurazzjoni tiegħu, iċ-ċertifikati u ċ-ċwievet, il-backups, il-monitoraġġ u l-irkupru. Il-mudell tas-sigurtà ta’ EC2 iqiegħed is-sigurtà tal-mistieden u tal-applikazzjoni fuq il-klijent, u server VPN huwa mistieden bħal kull ieħor.

Ikteb it-tqassim bħala tabella bl-ismijiet fil-kolonna tal-lemin. Jekk ħadd ma jidher ħdejn it-tiġdid taċ-ċertifikati, dak huwa s-sejba, u tiswa aktar mid-differenza fis-siegħa.

Pass 4: qabbel ma’ tagħbija tax-xogħol li tista’ tiddeskrivi

L-ispiża ssegwi l-forma, mhux id-daqs. Għall-għażla ġestita, għodd is-sigħat tal-assoċjazzjoni tal-punti tat-tmiem, is-sigħat tal-konnessjoni tal-klijenti, it-trasferiment u s-servizzi tal-identità u tal-log li tattiva. Għall-ospitar awtonomu, għodd il-kompjuters, il-ħżin, in-netwerk, il-liċenzji u l-ħin tal-inġinerija li jżomm is-server imqaxxar. Poġġi ż-żewġ settijiet ta’ numri fi skeda waħda bl-istess orizzont ta’ żmien. Paragun ta’ tliet snin li jinjora s-sigħat tal-irqajja dejjem se jiffavorixxi s-server li diġà għandek.

Il-paraguni tal-prestazzjoni jeħtieġu l-istess dixxiplina. Sessjoni waħda interattiva tad-desktop, trasferiment kbir wieħed u ħamsin talba żgħira fl-istess ħin jagħfsu partijiet differenti tal-mogħdija: is-CPU għall-encryption, il-kapaċità tan-netwerk tal-istanza, il-munzell tal-klijent stess u d-destinazzjoni. Iġġieled b’klijenti rappreżentattivi u bl-istess kompitu fiż-żewġ disinji.

Istanza akbar mhix prova li trasferiment se jkun aktar mgħaġġel, u sessjoni waħda ta’ suċċess mhix pjan ta’ kapaċità. Ittratta kwalunkwe storja li wiret dwar familji ta’ istanzi bħala ipoteżi li trid tiġi ttestjata, mhux bħala regola tax-xiri.

Pass 5: aqleb b’rollback li diġà ħaddimt

Ħaddem iż-żewġ punti tat-tmiem b’mod parallel għal perjodu definit, qassam il-profil il-ġdid tal-klijent lill-grupp żgħir l-ewwel, u ħalli r-regoli ta’ awtorizzazzjoni tal-punt tat-tmiem l-antik bla ma tmisshom sakemm il-grupp juża l-ġdid f’xogħol reali. Ir-rollback huwa bidla tal-profil, mhux bini mill-ġdid, allura iddeċiedi issa fejn jgħix il-profil antik.

Ivverifika f’dan l-ordni: l-awtentikazzjoni tirnexxi, il-klijent jirċievi r-rotot mistennija, destinazzjoni awtorizzata twieġeb u destinazzjoni mhux awtorizzata tfalli, u l-logs juru ż-żewġ avvenimenti. Jekk xi pass jonqos, waqaf u sewwi dak il-pass minflok ma tgħaddi għall-grupp tal-klijenti li jmiss. Ikteb ir-riżultat ta’ kull verifika, għax bidla mfakkra biss bħala «ħadmet» ma tistax tiġi debugjata xahar wara.

Wara l-bidla, ippjana l-verifiki tedjanti: l-iskadenza taċ-ċertifikati, l-għadd tal-assoċjazzjonijiet, ir-regoli ta’ awtorizzazzjoni li ma jibqgħux jaqblu ma’ grupp u l-għadd ta’ konnessjonijiet meta mqabbel ma’ dak li tistenna. Il-Gwida tal-amministrazzjoni tal-Client VPN hija r-referenza għall-partijiet tal-punt tat-tmiem, tal-awtentikazzjoni u tar-routing li kkonfigurajt.

Artikli relatati