AWS Client VPN alebo VPN na EC2: prevádzková príručka

Obe možnosti dajú tímu VPN pre vzdialený prístup, takže zaujímavá otázka nie je, ktorá existuje, ale ktorú dokážete prevádzkovať. Rozdiel je v tom, kto vlastní koncový bod o 3 ráno a na aké ovládacie prvky sa dostanete, keď sa niečo pokazí. Prejdite päť krokov nižšie po poriadku, pretože každý môže porovnanie ukončiť skôr. Práve vynechanie kroku s inventárom vedie k tomu, že tímy migrujú dvakrát.

Krok 1: napíšte požiadavku pred účtom

Potrebujete päť faktov na jednej strane: kto sa autentifikuje a voči čomu, ktoré klientske platformy musia fungovať, ktoré súkromné ciele sú dostupné, akú dostupnosť ste sľúbili a ako prevádzka v skutočnosti vyzerá. Bez toho sa každé ďalšie porovnanie zvrhne na hádku o zozname funkcií.

Buďte konkrétni pri cieľoch. „Prístup k VPC“ zvyčajne znamená tri rôzne veci: CIDR VPC, prepojenú sieť a lokálny rozsah za Transit Gateway. Spravovaný koncový bod dosiahne na všetky tri, ale každý potrebuje trasu a autorizačné pravidlo a každý je samostatný riadok vo vašej požiadavke.

Krok 2: vypíšte, čo už beží

Skôr než čokoľvek navrhnete, vypíšte existujúce koncové body a každý server hostovaný na EC2 vrátane jeho bezpečnostných skupín. Tieto volania sú len na čítanie a bezpečné na spustenie z účtu s právami describe.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Čítajte výstup ako mapu toho, kam sa klienti už dostanú. Chýbajúce autorizačné pravidlo vysvetlí zlyhanie, ktoré vyzerá ako problém s routovaním, a koncový bod priradený k jednej podsieti vysvetlí, prečo výpadok zóny zhodil celú službu.

Zapíšte si aj bezpečnostné skupiny pripojené k akejkoľvek vlastnej inštancii. Tieto pravidlá sú súčasťou modelu prístupu a sú prvou vecou, ktorá ticho praskne, keď niekto inštanciu znova postaví zo šablóny.

Krok 3: rozdeľte zodpovednosti

Spravovaná služba vlastní flotilu koncových bodov, jej záplatovanie a dostupnosť v regióne. Vy vlastníte zápis identít, autorizačné pravidlá, sieťové cesty za koncovým bodom, konfiguráciu protokolovania a rozhodnutie, koľko podsietí priradiť.

Vlastné hostovanie to obracia. Vlastníte hosťovaný operačný systém, démona VPN a jeho konfiguráciu, certifikáty a kľúče, zálohy, monitorovanie a obnovu. Bezpečnostný model EC2 kladie bezpečnosť hosťa a aplikácie na zákazníka a VPN server je hosť ako každý iný.

Zapíšte rozdelenie ako tabuľku s menami v pravom stĺpci. Ak sa vedľa obnovy certifikátov neobjaví žiadne meno, to je zistenie a je dôležitejšie než rozdiel v hodinovej cene.

Krok 4: porovnávajte so záťažou, ktorú viete opísať

Cena sleduje tvar, nie veľkosť. Pri spravovanej možnosti počítajte hodiny priradenia koncových bodov, hodiny klientskych pripojení, prenos a služby identít a protokolovania, ktoré zapnete. Pri vlastnom hostovaní počítajte výpočtový výkon, úložisko, sieť, licencie a inžiniersky čas, ktorý drží server záplatovaný. Dajte oba súbory čísel do jedného listu s rovnakým časovým horizontom. Trojročné porovnanie, ktoré ignoruje hodiny záplatovania, vždy zvýhodní server, ktorý už vlastníte.

Porovnania výkonu potrebujú rovnakú disciplínu. Jedno interaktívne sedenie na ploche, jeden veľký prenos a päťdesiat súbežných malých požiadaviek zaťažuje rôzne časti cesty: procesor na šifrovanie, sieťové schopnosti inštancie, vlastný zásobník klienta a cieľ. Testujte s reprezentatívnymi klientmi a rovnakou úlohou v oboch návrhoch.

Väčšia inštancia nie je dôkaz, že prenos bude rýchlejší, a jedno úspešné sedenie nie je plán kapacity. Akékoľvek zdedené reči o rodinách inštancií berte ako hypotézu na otestovanie, nie ako pravidlo pri nákupe.

Krok 5: prejdite s návratom, ktorý ste už vyskúšali

Spustite oba koncové body paralelne na určené obdobie, nový klientsky profil najprv rozdeľte malej skupine a autorizačné pravidlá starého koncového bodu nechajte nedotknuté, kým skupina nepoužije nový pri skutočnej práci. Návrat je prepnutie profilu, nie prestavba, takže rozhodnite teraz, kde starý profil žije.

Overujte v tomto poradí: autentifikácia prejde, klient dostane očakávané trasy, autorizovaný cieľ odpovie, neautorizovaný cieľ zlyhá, a protokoly ukážu obe udalosti. Ak niektorý krok zlyhá, zastavte sa a opravte ten krok, namiesto toho aby ste prešli k ďalšej skupine klientov. Zapíšte výsledok každého overenia, pretože prechod, ktorý si pamätáte len ako „fungovalo to“, sa o mesiac nedá ladiť.

Po prechode naplánujte nudné kontroly: platnosť certifikátov, počet priradení, autorizačné pravidlá, ktoré už nezodpovedajú skupine, a počet pripojení proti vášmu očakávaniu. Príručka správy Client VPN je referenciou pre časti koncového bodu, autentifikácie a routovania, ktoré ste nastavili.