AWS Client VPN или VPN на EC2: оперативни приручник

Обе опције дају тиму VPN за удаљени приступ, па занимљиво питање није која постоји, већ коју можете да одржавате. Разлика је ко поседује крајњу тачку у 3 сата ујутру и којима контролама можете да приступите када нешто пукне. Прођите кроз пет корака испод редом, јер сваки може да заврши поређење раније. Прескакање корака са инвентаром је начин на који тимови заврше са две миграције.

Корак 1: напишите захтев пре рачуна

Потребно вам је пет чињеница на једној страници: ко се аутентификује и према чему, које клијентске платформе морају да раде, које приватне дестинације су доступне, какву доступност сте обећали и како саобраћај заиста изгледа. Без тога се свако касније поређење претвара у расправу о листи функција.

Будите конкретни у вези са дестинацијама. «Приступ VPC-у» обично значи три различите ствари: VPC CIDR, повезану мрежу и локални опсег иза Transit Gateway-а. Управљана крајња тачка може да досегне све три, али свака тражи руту и правило ауторизације, и свака је посебан ред у вашем захтеву.

Корак 2: попишите шта већ ради

Пре него што било шта дизајнирате, попишите постојеће крајње тачке и сваки сервер хостован на EC2 заједно са његовим сигурносним групама. Ови позиви су само за читање и безбедни за извршавање са налога који има describe дозволе.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Читајте излаз као мапу онога до чега клијенти већ могу да дођу. Правило ауторизације које недостаје објашњава квар који изгледа као проблем са рутирањем, а крајња тачка повезана са једном подмрежом објашњава зашто је квар зоне оборио целу услугу.

Забележите и сигурносне групе прикључене на сваку самостално хостовану инстанцу. Та правила су део модела приступа и прва ствар која тихо пукне када неко поново изгради инстанцу из шаблона.

Корак 3: поделите одговорности

Управљана услуга поседује флоту крајњих тачака, њено закрпавање и доступност унутар регије. Ви поседујете упис идентитета, правила ауторизације, мрежне путање иза крајње тачке, конфигурацију записника и одлуку о томе колико подмрежа повезати.

Самостално хостовање то обрће. Ви поседујете гостујући оперативни систем, VPN демон и његову конфигурацију, сертификате и кључеве, резервне копије, надзор и опоравак. EC2 сигурносни модел ставља сигурност госта и апликације на корисника, а VPN сервер је гост као и сваки други.

Запишите поделу као табелу са именима у десној колони. Ако се ничије име не нађе поред обнове сертификата, то је налаз и важнији је од разлике у цени по сату.

Корак 4: упоредите са радним оптерећењем које можете да опишете

Трошак прати облик, не величину. За управљану опцију бројите сате повезивања крајњих тачака, сате клијентских веза, пренос и услуге идентитета и записника које укључите. За самостално хостовање бројите рачунање, складиштење, мрежу, лиценце и инжењерско време које одржава сервер закрпљеним. Ставите оба скупа бројева у један лист са истим временским хоризонтом. Трогодишње поређење које занемарује сате закрпавања увек ће фаворизовати сервер који већ поседујете.

Поређења перформанси траже исту дисциплину. Једна интерактивна сесија радне површине, један велики пренос и педесет истовремених малих захтева оптерећују различите делове путање: процесор за шифровање, мрежне могућности инстанце, сопствени стек клијента и дестинацију. Тестирајте са репрезентативним клијентима и истим задатком на оба дизајна.

Већа инстанца није доказ да ће пренос бити бржи, а једна успешна сесија није план капацитета. Свако наследно причање о породицама инстанци третирајте као хипотезу за тестирање, а не као правило при куповини.

Корак 5: пређите са враћањем које сте већ извели

Покрените обе крајње тачке паралелно на одређени период, прво поделите нови клијентски профил малој групи и не дирајте правила ауторизације старе крајње тачке док група не буде користила нову за стварни рад. Враћање је промена профила, не поновна изградња, па одлучите сада где стари профил живи.

Проверите овим редом: аутентификација успева, клијент добија очекиване руте, ауторизована дестинација одговара, неауторизована дестинација не успева, и записници показују оба догађаја. Ако било који корак не успе, зауставите се и поправите тај корак уместо да пређете на следећу групу клијената. Запишите резултат сваке провере, јер прелазак који се памти само као «радило је» не може се отклонити месец дана касније.

Након преласка закажите досадне провере: истек сертификата, број повезивања, правила ауторизације која више не одговарају групи и број веза према вашем очекивању. Водич за администрацију Client VPN-а је референца за делове крајње тачке, аутентификације и рутирања које сте конфигурисали.