AWS Client VPN sau un VPN pe EC2: un manual de operare

Ambele opțiuni oferă echipei un VPN de acces la distanță, așa că întrebarea interesantă nu este care există, ci care poate fi operat. Diferența este cine deține endpointul la ora 3 dimineața și la ce controale ajungeți când ceva se strică. Parcurgeți cei cinci pași de mai jos în ordine, pentru că fiecare poate încheia comparația mai devreme. Sărirea peste pasul de inventar este exact modul în care echipele ajung să migreze de două ori.

Pasul 1: scrieți cerința înainte de factură

Aveți nevoie de cinci fapte pe o pagină: cine se autentifică și față de ce, ce platforme client trebuie să funcționeze, ce destinații private sunt accesibile, ce disponibilitate ați promis și cum arată traficul în realitate. Fără ele, fiecare comparație ulterioară devine o dispută despre o listă de funcții.

Fiți concreți în privința destinațiilor. „Acces la VPC” înseamnă de obicei trei lucruri diferite: CIDR-ul VPC-ului, o rețea conectată prin peering și un interval local în spatele unui Transit Gateway. Un endpoint administrat ajunge la toate trei, dar fiecare are nevoie de o rută și de o regulă de autorizare, iar fiecare este o linie separată în cerința voastră.

Pasul 2: enumerați ce rulează deja

Înainte de a proiecta ceva, enumerați endpointurile existente și orice server găzduit pe EC2 împreună cu grupurile sale de securitate. Aceste apeluri sunt doar pentru citire și sigure de rulat dintr-un cont cu permisiuni describe.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Citiți rezultatul ca pe o hartă a ceea ce clienții ajung deja. O regulă de autorizare lipsă explică o defecțiune care arată ca o problemă de rutare, iar un endpoint asociat cu o singură subrețea explică de ce o defecțiune de zonă a doborât întregul serviciu.

Notați și grupurile de securitate atașate oricărei instanțe găzduite propriu. Acele reguli fac parte din modelul de acces și sunt primul lucru care se strică în liniște când cineva reconstruiește o instanță dintr-un șablon.

Pasul 3: împărțiți responsabilitățile

Serviciul administrat deține flota de endpointuri, aplicarea patch-urilor și disponibilitatea ei în regiune. Voi dețineți înregistrarea identităților, regulile de autorizare, căile de rețea din spatele endpointului, configurația jurnalelor și decizia privind numărul de subrețele asociate.

Găzduirea proprie inversează acest lucru. Voi dețineți sistemul de operare invitat, demonul VPN și configurația lui, certificatele și cheile, copiile de siguranță, monitorizarea și recuperarea. Modelul de securitate al EC2 pune securitatea invitatului și a aplicației pe client, iar un server VPN este un invitat ca oricare altul.

Scrieți împărțirea ca un tabel cu nume în coloana din dreapta. Dacă lângă reînnoirea certificatelor nu apare niciun nume, aceasta este constatarea, și contează mai mult decât diferența pe oră.

Pasul 4: comparați cu o încărcare pe care o puteți descrie

Costul urmează forma, nu dimensiunea. Pentru opțiunea administrată, numărați orele de asociere a endpointurilor, orele de conectare ale clienților, transferul și serviciile de identitate și jurnale pe care le activați. Pentru găzduirea proprie, numărați calculul, stocarea, rețeaua, licențele și timpul de inginerie care ține serverul la zi. Puneți ambele seturi de cifre într-o singură foaie cu același orizont de timp. O comparație pe trei ani care ignoră orele de patch va favoriza întotdeauna serverul pe care îl aveți deja.

Comparațiile de performanță cer aceeași disciplină. O sesiune interactivă de desktop, un transfer mare și cincizeci de cereri mici simultane solicită părți diferite ale traseului: procesorul pentru criptare, capacitatea de rețea a instanței, stiva clientului însuși și destinația. Testați cu clienți reprezentativi și aceeași sarcină în ambele variante.

O instanță mai mare nu este dovada că transferul va fi mai rapid, iar o sesiune reușită nu este un plan de capacitate. Tratați orice poveste moștenită despre familii de instanțe ca pe o ipoteză de testat, nu ca pe o regulă de achiziție.

Pasul 5: treceți cu o revenire pe care ați executat-o deja

Rulați ambele endpointuri în paralel pentru o perioadă definită, distribuiți mai întâi noul profil de client unui grup mic și lăsați regulile de autorizare ale endpointului vechi neatinse până când grupul folosește noul în muncă reală. Revenirea este o schimbare de profil, nu o reconstrucție, așa că decideți acum unde stă profilul vechi.

Verificați în această ordine: autentificarea reușește, clientul primește rutele așteptate, o destinație autorizată răspunde și o destinație neautorizată eșuează, iar jurnalele arată ambele evenimente. Dacă vreun pas eșuează, opriți-vă și reparați acel pas în loc să treceți la următorul grup de clienți. Notați rezultatul fiecărei verificări, pentru că o trecere amintită doar ca „a funcționat” nu poate fi depanată o lună mai târziu.

După trecere, programați verificările plictisitoare: expirarea certificatelor, numărul de asocieri, regulile de autorizare care nu mai corespund unui grup și numărul de conexiuni față de așteptările voastre. Ghidul de administrare Client VPN este referința pentru părțile de endpoint, autentificare și rutare pe care le-ați configurat.