AWS Client VPN ali VPN na EC2: obratovalni priročnik

Obe možnosti ekipi dasta VPN za oddaljeni dostop, zato zanimivo vprašanje ni, katera obstaja, ampak katero lahko upravljate. Razlika je, kdo ima končno točko ob 3 zjutraj in do katerih krmilnikov pridete, ko se kaj pokvari. Pojdite skozi pet korakov spodaj po vrsti, ker lahko vsak primerjavo konča prej. Prav izpustitev koraka z inventarjem vodi v to, da ekipe migrirajo dvakrat.

Korak 1: zapišite zahtevo pred računom

Potrebujete pet dejstev na eni strani: kdo se overi in proti čemu, katere odjemalske platforme morajo delovati, katere zasebne cilje je mogoče doseči, kakšno razpoložljivost ste obljubili in kako promet v resnici izgleda. Brez tega se vsaka poznejša primerjava spremeni v prepir o seznamu funkcij.

Bodite konkretni glede ciljev. »Dostop do VPC« običajno pomeni tri različne stvari: CIDR VPC, povezano omrežje in lokalni obseg za Transit Gateway. Upravljana končna točka doseže vse tri, a vsaka potrebuje pot in pravilo avtorizacije, in vsaka je ločena vrstica v vaši zahtevi.

Korak 2: naštejte, kaj že teče

Preden karkoli načrtujete, naštejte obstoječe končne točke in vsak strežnik, gostovan na EC2, skupaj z njegovimi varnostnimi skupinami. Ti klici so samo za branje in varni za izvajanje z računa s pravicami describe.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Rezultat berite kot zemljevid tega, kam odjemalci že pridejo. Manjkajoče pravilo avtorizacije pojasni okvaro, ki izgleda kot težava s usmerjanjem, končna točka, povezana z eno podomrežjem, pa pojasni, zakaj je okvara območja podrla celotno storitev.

Zapišite tudi varnostne skupine, pripete na vsako lastno gostovano instanco. Ta pravila so del modela dostopa in so prva stvar, ki se tiho zlomi, ko nekdo instanco znova zgradi iz predloge.

Korak 3: razdelite odgovornosti

Upravljana storitev ima v lasti floto končnih točk, njeno popravljanje in razpoložljivost v regiji. Vi imate v lasti vpis identitet, pravila avtorizacije, omrežne poti za končno točko, konfiguracijo dnevnikov in odločitev, koliko podomrežij povezati.

Lastno gostovanje to obrne. Vi imate v lasti gostujoči operacijski sistem, demona VPN in njegovo konfiguracijo, potrdila in ključe, varnostne kopije, nadzor in obnovitev. Varnostni model EC2 daje varnost gosta in aplikacije na naročnika, VPN strežnik pa je gost kot vsak drug.

Delitev zapišite kot tabelo z imeni v desnem stolpcu. Če ob podaljšanju potrdil ni nobenega imena, je to ugotovitev in je pomembnejša od razlike v ceni na uro.

Korak 4: primerjajte z obremenitvijo, ki jo znate opisati

Strošek sledi obliki, ne velikosti. Pri upravljani možnosti štejte ure povezovanja končnih točk, ure odjemalskih povezav, prenos ter storitve identitete in dnevnikov, ki jih vklopite. Pri lastnem gostovanju štejte računanje, shranjevanje, omrežje, licence in inženirski čas, ki strežnik ohranja popravljen. Oba niza števil dajte v eno preglednico z enakim časovnim obzorjem. Triletna primerjava, ki ignorira ure popravljanja, bo vedno v korist strežnika, ki ga že imate.

Primerjave zmogljivosti zahtevajo enako disciplino. Ena interaktivna namizna seja, en velik prenos in petdeset sočasnih majhnih zahtev obremenjujejo različne dele poti: procesor za šifriranje, omrežne zmogljivosti instance, lastni sklad odjemalca in cilj. Testirajte z reprezentativnimi odjemalci in isto nalogo v obeh zasnovah.

Večja instanca ni dokaz, da bo prenos hitrejši, in ena uspešna seja ni načrt zmogljivosti. Vsako podedovano govorjenje o družinah instanc obravnavajte kot hipotezo za preverjanje, ne kot pravilo pri nakupu.

Korak 5: preklopite z vrnitvijo, ki ste jo že izvedli

Zaženite obe končni točki vzporedno za določeno obdobje, nov odjemalski profil najprej razdelite majhni skupini in pustite pravila avtorizacije stare končne točke nedotaknjena, dokler skupina novega ne uporabi pri resničnem delu. Vrnitev je zamenjava profila, ne ponovna gradnja, zato se odločite zdaj, kje živi stari profil.

Preverjajte v tem vrstnem redu: overjanje uspe, odjemalec prejme pričakovane poti, avtorizirani cilj odgovori in neavtorizirani cilj spodleti, in dnevniki pokažejo oba dogodka. Če kateri koli korak spodleti, se ustavite in popravite ta korak, namesto da bi šli na naslednjo skupino odjemalcev. Zapišite izid vsakega preverjanja, ker prehoda, ki si ga zapomnite le kot »delovalo je«, mesec pozneje ni mogoče razhroščevati.

Po prehodu načrtujte dolgočasna preverjanja: potek potrdil, število povezav, pravila avtorizacije, ki ne ustrezajo več skupini, in število povezav glede na vaša pričakovanja. Vodnik za upravljanje Client VPN je referenca za dele končne točke, overjanja in usmerjanja, ki ste jih nastavili.