AWS Client VPN au VPN kwenye EC2: mwongozo wa uendeshaji

Chaguo zote mbili zinazipa timu yako VPN ya ufikiaji wa mbali, kwa hiyo swali la muhimu si lipi lililopo, bali lipi unaweza kuliongoza. Tofauti ni nani anamiliki kituo cha mwisho saa 3 usiku na ni vidhibiti vipi unavyofikia pale kitu kinapovunjika. Fanya hatua tano zilizo hapa chini kwa mpangilio, kwa sababu kila moja inaweza kumaliza ulinganisho mapema. Kuruka hatua ya orodha ya vifaa ndiyo njia ambayo timu huishia kuhamia mara mbili.

Hatua 1: andika mahitaji kabla ya bili

Unahitaji mambo matano kwenye ukurasa mmoja: nani anathibitisha na dhidi ya nini, ni majukwaa gani ya mteja yanayopaswa kufanya kazi, ni maeneo gani ya kibinafsi yanayofikiwa, ni upatikanaji gani ulioahidi na jinsi trafiki inavyoonekana kwa kweli. Bila hayo, kila ulinganisho la baadaye hugeuka kuwa mzozo kuhusu orodha ya vipengele.

Kuwa mahususi kuhusu maeneo. «Ufikiaji wa VPC» kwa kawaida humaanisha mambo matatu tofauti: CIDR ya VPC, mtandao uliounganishwa na mwenzake na masafa ya ndani nyuma ya Transit Gateway. Kituo cha mwisho kinachosimamiwa kinaweza kufikia yote matatu, lakini kila moja linahitaji njia na kanuni ya idhini, na kila moja ni mstari tofauti katika mahitaji yako.

Hatua 2: orodhesha kinachokwisha fanya kazi

Kabla ya kubuni kitu chochote, orodhesha vituo vya mwisho vilivyopo na seva yoyote inayohifadhiwa kwenye EC2 pamoja na vikundi vyake vya usalama. Simu hizi ni za kusoma tu na ni salama kuziendesha kutoka akaunti yenye ruhusa za describe.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Soma matokeo kama ramani ya kile wateja wanachokwisha kufikia. Kanuni ya idhini inayokosekana inaeleza hitilafu inayoonekana kama tatizo la uelekezaji, na kituo cha mwisho kilichounganishwa na subnet moja kinaeleza kwa nini hitilafu ya eneo iliangusha huduma yote.

Andika pia vikundi vya usalama vilivyoambatishwa kwenye kisa chochote kinachohifadhiwa nawe. Kanuni hizo ni sehemu ya mtindo wa ufikiaji, na ndizo kitu cha kwanza kuvunjika kimya wakati mtu anajenga upya kisa kutoka kiolezo.

Hatua 3: gawanya majukumu

Huduma inayosimamiwa inamiliki kundi la vituo vya mwisho, urekebishaji wake na upatikanaji wake ndani ya eneo. Wewe unamiliki usajili wa utambulisho, kanuni za idhini, njia za mtandao nyuma ya kituo cha mwisho, usanidi wa kumbukumbu na uamuzi wa subnet ngapi kuunganisha.

Kuhifadhi mwenyewe kunabadilisha hii. Wewe unamiliki mfumo wa uendeshaji wa mgeni, daemon ya VPN na usanidi wake, vyeti na funguo, nakala rudufu, ufuatiliaji na urejeshaji. Mtindo wa usalama wa EC2 unaweka usalama wa mgeni na programu kwa mteja, na seva ya VPN ni mgeni kama mgeni mwingine yeyote.

Andika mgawanyo kama jedwali lenye majina kwenye safu ya kulia. Ikiwa hakuna jina la mtu karibu na uhuishaji wa vyeti, hiyo ndiyo ugunduzi, na ni muhimu zaidi kuliko tofauti ya gharama kwa saa.

Hatua 4: linganisha na mzigo wa kazi unaoweza kuueleza

Gharama hufuata umbo, si ukubwa. Kwa chaguo linalosimamiwa, hesabu saa za uunganishaji wa vituo vya mwisho, saa za miunganisho ya wateja, uhamishaji na huduma za utambulisho na kumbukumbu unazowasha. Kwa kuhifadhi mwenyewe, hesabu uchakataji, hifadhi, mtandao, leseni na muda wa uhandisi unaoiweka seva imerekebishwa. Weka seti zote mbili za namba kwenye karatasi moja yenye upeo sawa wa muda. Ulinganisho wa miaka mitatu unaopuuza saa za urekebishaji utapendelea kila mara seva unayomiliki tayari.

Ulinganisho wa utendaji unahitaji nidhamu hiyo hiyo. Kikao kimoja cha kompyuta ya mezani kinachoingiliana, uhamishaji mmoja mkubwa na maombi madogo hamsini kwa wakati mmoja yanabana sehemu tofauti za njia: CPU kwa usimbaji fiche, uwezo wa mtandao wa kisa, mkusanyiko wa mteja mwenyewe na lengwa. Jaribu na wateja wawakilishi na kazi hiyo hiyo katika miundo yote miwili.

Kisa kikubwa si uthibitisho kwamba uhamishaji utakuwa wa haraka, na kikao kimoja kilichofanikiwa si mpango wa uwezo. Chukua hadithi yoyote ya urithi kuhusu familia za visa kama dhana ya kujaribiwa, si kanuni ya ununuzi.

Hatua 5: hamia na kurudi nyuma ulikokwisha kuendesha

Endesha vituo vyote viwili vya mwisho kwa wakati mmoja kwa kipindi kilichobainishwa, sambaza wasifu mpya wa mteja kwa kikundi kidogo kwanza, na usiguse kanuni za idhini za kituo cha zamani hadi kikundi kitumie kipya katika kazi halisi. Kurudi nyuma ni kubadilisha wasifu, si kujenga upya, kwa hiyo amua sasa wasifu wa zamani unaishi wapi.

Thibitisha kwa mpangilio huu: uthibitishaji unafanikiwa, mteja anapokea njia zinazotarajiwa, lengwa lililoidhinishwa linajibu na lengwa lisiloidhinishwa linashindikana, na kumbukumbu zinaonyesha matukio yote mawili. Ikiwa hatua yoyote inashindikana, simama na urekebishe hatua hiyo badala ya kuhamia kikundi kingine cha wateja. Andika matokeo ya kila ukaguzi, kwa sababu uhamisho unaokumbukwa tu kama «ilifanya kazi» hauwezi kutatuliwa mwezi mmoja baadaye.

Baada ya uhamisho, panga ukaguzi wenye kuchosha: kuisha kwa vyeti, idadi ya uunganishaji, kanuni za idhini zisizolingana tena na kikundi na idadi ya miunganisho dhidi ya matarajio yako. Mwongozo wa usimamizi wa Client VPN ni marejeleo ya sehemu za kituo cha mwisho, uthibitishaji na uelekezaji ulizozisanidi.