Sua VPN na nuvem ainda depende do provedor de hospedagem

Você instalou o sistema operacional, fortaleceu o serviço e tem as chaves, e começa a parecer que o servidor é seu. Ele é seu como um apartamento alugado é seu: a fechadura está sob o seu controle e o prédio não. O hipervisor, a rede à frente da instância e a conta que pode reconstruir tudo pertencem a outra pessoa. Essa distinção decide o que um plano de recuperação precisa cobrir, e é a parte que a auto-hospedagem menos muda.

A conta é o verdadeiro plano de controle

Uma conta de hospedagem administra a máquina virtual, os discos, os snapshots, os endereços públicos e as regras de rede. Tudo isso pode ser alterado sem entrar no convidado, o que coloca a conta fora do modelo de ameaças descrito pela maioria dos guias de VPN. Uma configuração de túnel perfeita sobrevive a uma ação na conta que substitui um disco.

Proteja essa conta como um ativo separado: credenciais independentes, segundos fatores com apoio de hardware e um registro de auditoria que alguém realmente leia. Compartilhá-la com a mesma entrada do gerenciador de senhas do serviço de VPN é o erro que torna todos os outros controles irrelevantes.

Leia a divisão de deveres do provedor para o produto específico, não para a nuvem em geral. O modelo de responsabilidade compartilhada é um exemplo útil de como as camadas são divididas, e outros provedores descrevem as próprias fronteiras em vez de herdar essa. O que você procura é quais falhas deve corrigir e quais só pode comunicar.

Eventos de infraestrutura que você não administra

A migração ao vivo, a manutenção do host, uma falha de hardware no nó físico e um evento de capacidade são coisas que o provedor trata conforme o próprio calendário. Você pode ver uma reinicialização, uma breve perda de pacotes ou uma mudança de endereço, e não verá o motivo. Um projeto que trata a instância como ponto fixo interpretará cada um deles como falha da VPN. A ação corretiva é tornar o serviço tolerante a uma instância que desaparece, em vez de investigar uma causa que nunca lhe será mostrada.

Os backups pertencem a esta camada, não ao túnel. Guarde a configuração do servidor, as identidades, o plano de endereços e as rotas permitidas num lugar que não dependa da acessibilidade da instância, e confirme que a cópia pode ser restaurada sem o disco original.

O comportamento do endereço merece uma verificação própria. Se um endereço público sobrevive a uma parada, a uma substituição ou a uma eliminação depende de como foi atribuído, e as três operações não são intercambiáveis. Anote de qual você depende antes que um incidente torne a pergunta urgente.

Verifique o que sobrevive a uma reconstrução

Construa o caminho de recuperação enquanto tudo funciona. Identifique o console ou o acesso fora de banda que o provedor oferece, confirme que consegue chegar lá sem o túnel e guarde as credenciais num lugar de onde um portátil avariado ou um telefone perdido não as leve. Se uma alteração local de firewall bloquear o túnel, esse console é o único caminho de volta.

curl -s http://169.254.169.254/latest/meta-data/instance-id
curl -s http://169.254.169.254/latest/meta-data/public-ipv4
cloud-init status --long

O serviço de metadados responde a perguntas sobre a instância que o convidado não consegue ver de outra forma, e os seus caminhos exatos variam entre provedores e entre plataformas, então verifique-os com a documentação do produto que executa. Depois faça uma reconstrução controlada de uma instância de teste e meça o tempo. Um procedimento de recuperação que ninguém executou é uma hipótese.

Note o que a reconstrução fez ao endereço, às chaves de host, à identidade do disco e a tudo o que os clientes fixam. Os clientes que guardaram uma chave de host em cache vão reclamar depois de uma reconstrução, e essa reclamação é o comportamento correto, não um erro a silenciar.

Decida o que a auto-hospedagem realmente muda

Executar a sua própria VPN desloca a confiança de um operador de VPN para um provedor de hospedagem e para si. Isso é uma mudança real, e não é o mesmo que remover um terceiro. Se o objetivo era impedir que uma VPN comercial observasse o tráfego, o provedor ainda pode observar a rede da instância, o disco e os registros de faturamento.

Os seus próprios registros descrevem o seu software e não descrevem todos os registros de infraestrutura que o provedor mantém. O contrário também é verdadeiro: a visibilidade da infraestrutura não estabelece o que um provedor retém. Ambas as perguntas exigem a política do provedor e a sua configuração, e nenhuma responde à outra.

Escreva a resposta como uma divisão do trabalho: que camada falhou, quem a pode reparar e quanto tempo essa reparação leva. A auto-hospedagem muda em quem confia, e a parte útil do exercício é saber exatamente por que camada confia neles.