AWS Client VPN of een VPN op EC2: een bedrijfshandboek

Beide opties geven je team een VPN voor toegang op afstand, dus de interessante vraag is niet welke bestaat, maar welke je kunt beheren. Het verschil is wie om 3 uur ’s nachts de endpoint bezit en welke controles je bereikt als er iets kapotgaat. Werk de vijf stappen hieronder in volgorde af, want elk kan de vergelijking vroegtijdig beëindigen. De inventarisstap overslaan is precies hoe teams twee keer migreren.

Stap 1: schrijf de eis op vóór de rekening

Je hebt vijf feiten op één pagina nodig: wie authenticeert en waartegen, welke clientplatforms moeten werken, welke privébestemmingen bereikbaar zijn, welke beschikbaarheid je hebt beloofd en hoe het verkeer er werkelijk uitziet. Zonder die feiten wordt elke latere vergelijking een discussie over een functielijst.

Wees concreet over bestemmingen. „Toegang tot de VPC” betekent meestal drie verschillende dingen: de VPC-CIDR, een gepeerd netwerk en een on-premises bereik achter een Transit Gateway. Een beheerde endpoint bereikt alle drie, maar elk heeft een route en een autorisatieregel nodig, en elk is een aparte regel in je eis.

Stap 2: inventariseer wat al draait

Voordat je iets ontwerpt, lijst je de bestaande endpoints op en elke server die op EC2 wordt gehost, met de bijbehorende beveiligingsgroepen. Deze aanroepen zijn alleen-lezen en veilig uit te voeren vanuit een account met describe-rechten.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Lees de uitvoer als een kaart van wat clients al bereiken. Een ontbrekende autorisatieregel verklaart een storing die op een routingprobleem lijkt, en een endpoint dat aan één subnet is gekoppeld verklaart waarom een zonefout de hele dienst platlegde.

Noteer ook de beveiligingsgroepen die aan een zelf gehoste instantie hangen. Die regels horen bij het toegangsmodel, en ze zijn het eerste dat stil kapotgaat wanneer iemand een instantie opnieuw uit een sjabloon bouwt.

Stap 3: verdeel de verantwoordelijkheden

De beheerde dienst bezit de endpointfleet, het patchen daarvan en de beschikbaarheid binnen de regio. Jij bezit identiteitsinschrijving, autorisatieregels, de netwerkpaden achter de endpoint, de logconfiguratie en de beslissing hoeveel subnetten te koppelen.

Zelf hosten keert dat om. Jij bezit het gastbesturingssysteem, de VPN-daemon en de configuratie, certificaten en sleutels, back-ups, monitoring en herstel. Het beveiligingsmodel van EC2 legt gast- en applicatiebeveiliging bij de klant, en een VPN-server is een gast als elke andere.

Schrijf de verdeling op als een tabel met namen in de rechterkolom. Staat er bij certificaatvernieuwing geen naam, dan is dat de bevinding, en die weegt zwaarder dan het uurprijsverschil.

Stap 4: vergelijk met een werklast die je kunt beschrijven

Kosten volgen vorm, niet omvang. Voor de beheerde optie tel je endpoint-koppeluren, clientverbindingsuren, verkeer en de identiteits- en logdiensten die je aanzet. Voor zelf hosten tel je rekenkracht, opslag, netwerk, licenties en de engineeringtijd die de server gepatcht houdt. Zet beide sets getallen in één blad met dezelfde tijdshorizon. Een vergelijking over drie jaar die patchuren negeert, zal altijd de server bevoordelen die je al hebt.

Prestatievergelijkingen vragen dezelfde discipline. Eén interactieve desktopsessie, één grote overdracht en vijftig gelijktijdige kleine verzoeken belasten verschillende delen van het pad: de CPU voor versleuteling, de netwerkcapaciteit van de instantie, de eigen stack van de client en de bestemming. Test met representatieve clients en dezelfde taak in beide ontwerpen.

Een grotere instantie is geen bewijs dat een overdracht sneller wordt, en één geslaagde sessie is geen capaciteitsplan. Behandel elk geërfd verhaal over instantiefamilies als een hypothese om te testen, niet als een inkoopregel.

Stap 5: schakel over met een terugrol die je hebt uitgevoerd

Laat beide endpoints een bepaalde periode parallel draaien, verdeel het nieuwe clientprofiel eerst naar een kleine groep en laat de autorisatieregels van de oude endpoint ongemoeid tot de groep de nieuwe voor echt werk heeft gebruikt. Terugrollen is een profielwissel, geen herbouw, dus bepaal nu waar het oude profiel staat.

Controleer in deze volgorde: authenticatie slaagt, de client ontvangt de verwachte routes, een geautoriseerde bestemming antwoordt en een niet-geautoriseerde bestemming faalt, en de logs tonen beide gebeurtenissen. Als een stap faalt, stop en repareer die stap in plaats van door te gaan naar de volgende clientgroep. Schrijf het resultaat van elke controle op, want een overstap die alleen als „het werkte” wordt onthouden, is een maand later niet te debuggen.

Plan na de overstap de saaie controles: certificaatverloop, aantal koppelingen, autorisatieregels die niet meer bij een groep passen en het aantal verbindingen tegen je verwachting. De beheerhandleiding voor Client VPN is de referentie voor de endpoint-, authenticatie- en routingdelen die je hebt geconfigureerd.