AWS Client VPN ili VPN na EC2: operativni priručnik

Obe opcije daju vašem timu VPN za udaljeni pristup, pa zanimljivo pitanje nije koja postoji, već koju možete da održavate. Razlika je ko poseduje krajnju tačku u 3 sata ujutru i kojim kontrolama možete da pristupite kada nešto pukne. Prođite kroz pet koraka ispod redom, jer svaki može da završi poređenje ranije. Preskakanje koraka sa inventarom je način na koji timovi završe sa dve migracije.

Korak 1: napišite zahtev pre računa

Potrebno vam je pet činjenica na jednoj stranici: ko se autentifikuje i prema čemu, koje klijentske platforme moraju da rade, koje privatne destinacije su dostupne, kakvu dostupnost ste obećali i kako saobraćaj zapravo izgleda. Bez toga se svako kasnije poređenje pretvara u raspravu o listi funkcija.

Budite konkretni u vezi sa destinacijama. «Pristup VPC-u» obično znači tri različite stvari: VPC CIDR, povezanu mrežu i lokalni opseg iza Transit Gateway-a. Upravljana krajnja tačka može da dosegne sve tri, ali svaka traži rutu i pravilo autorizacije, i svaka je poseban red u vašem zahtevu.

Korak 2: popišite šta već radi

Pre nego što bilo šta dizajnirate, popišite postojeće krajnje tačke i svaki server hostovan na EC2 zajedno sa njegovim sigurnosnim grupama. Ovi pozivi su samo za čitanje i bezbedni za izvršavanje sa naloga koji ima describe dozvole.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Čitajte izlaz kao mapu onoga do čega klijenti već mogu da dođu. Pravilo autorizacije koje nedostaje objašnjava kvar koji izgleda kao problem sa rutiranjem, a krajnja tačka povezana sa jednom podmrežom objašnjava zašto je kvar zone oborio celu uslugu.

Zabeležite i sigurnosne grupe priključene na svaku sopstveno hostovanu instancu. Ta pravila su deo modela pristupa i prva stvar koja tiho pukne kada neko ponovo izgradi instancu iz šablona.

Korak 3: podelite odgovornosti

Upravljana usluga poseduje flotu krajnjih tačaka, njeno zakrpavanje i dostupnost unutar regije. Vi posedujete upis identiteta, pravila autorizacije, mrežne putanje iza krajnje tačke, konfiguraciju zapisnika i odluku o tome koliko podmreža povezati.

Sopstveno hostovanje to obrće. Vi posedujete gostujući operativni sistem, VPN demon i njegovu konfiguraciju, sertifikate i ključeve, rezervne kopije, nadzor i oporavak. EC2 sigurnosni model stavlja sigurnost gosta i aplikacije na korisnika, a VPN server je gost kao i svaki drugi.

Zapišite podelu kao tabelu sa imenima u desnoj koloni. Ako se ničije ime ne nađe pored obnove sertifikata, to je nalaz i važniji je od razlike u ceni po satu.

Korak 4: uporedite sa radnim opterećenjem koje možete da opišete

Trošak prati oblik, ne veličinu. Za upravljanu opciju brojite sate povezivanja krajnjih tačaka, sate klijentskih veza, prenos i usluge identiteta i zapisnika koje uključite. Za sopstveno hostovanje brojite računanje, skladištenje, mrežu, licence i inženjersko vreme koje održava server zakrpanim. Stavite oba skupa brojeva u jedan list sa istim vremenskim horizontom. Trogodišnje poređenje koje zanemaruje sate zakrpavanja uvek će favorizovati server koji već posedujete.

Poređenja performansi traže istu disciplinu. Jedna interaktivna sesija radne površine, jedan veliki prenos i pedeset istovremenih malih zahteva opterećuju različite delove putanje: procesor za šifrovanje, mrežne mogućnosti instance, sopstveni stek klijenta i destinaciju. Testirajte sa reprezentativnim klijentima i istim zadatkom na oba dizajna.

Veća instanca nije dokaz da će prenos biti brži, a jedna uspešna sesija nije plan kapaciteta. Svako nasleđeno pričanje o porodicama instanci tretirajte kao hipotezu za testiranje, a ne kao pravilo pri kupovini.

Korak 5: pređite sa vraćanjem koje ste već izveli

Pokrenite obe krajnje tačke paralelno na određeni period, prvo podelite novi klijentski profil maloj grupi i ne dirajte pravila autorizacije stare krajnje tačke dok grupa ne bude koristila novu za stvarni rad. Vraćanje je promena profila, ne ponovna izgradnja, pa odlučite sada gde stari profil živi.

Proverite ovim redom: autentifikacija uspeva, klijent dobija očekivane rute, autorizovana destinacija odgovara, neautorizovana destinacija ne uspeva, i zapisnici pokazuju oba događaja. Ako bilo koji korak ne uspe, zaustavite se i popravite taj korak umesto da pređete na sledeću grupu klijenata. Zapišite rezultat svake provere, jer prelazak koji se pamti samo kao «radilo je» ne može se otkloniti mesec dana kasnije.

Nakon prelaska zakažite dosadne provere: istek sertifikata, broj povezivanja, pravila autorizacije koja više ne odgovaraju grupi i broj veza prema vašem očekivanju. Vodič za administraciju Client VPN-a je referenca za delove krajnje tačke, autentifikacije i rutiranja koje ste konfigurisali.