AWS Client VPN o VPN sa EC2: isang operating runbook

Parehong nagbibigay ng VPN para sa remote access ang dalawang opsyon, kaya ang mahalagang tanong ay hindi kung alin ang umiiral kundi kung alin ang kaya mong patakbuhin. Ang pagkakaiba ay kung sino ang may-ari ng endpoint sa alas-3 ng madaling-araw at kung aling mga kontrol ang naaabot mo kapag may nasira. Sundin ang limang hakbang sa ibaba sa pagkakasunod-sunod, dahil bawat isa ay maaaring magtapos ng paghahambing nang maaga. Ang paglaktaw sa hakbang ng imbentaryo ang dahilan kung bakit dalawang beses naglilipat ang mga team.

Hakbang 1: isulat ang pangangailangan bago ang bayarin

Kailangan mo ng limang katotohanan sa isang pahina: sino ang nagpapatunay at laban sa ano, aling mga platform ng kliyente ang dapat gumana, aling mga pribadong destinasyon ang naaabot, anong availability ang ipinangako mo at ano talaga ang hitsura ng trapiko. Kung wala ang mga ito, nagiging debate tungkol sa listahan ng feature ang bawat susunod na paghahambing.

Maging tiyak tungkol sa mga destinasyon. Ang «pag-access sa VPC» ay karaniwang nangangahulugan ng tatlong magkakaibang bagay: ang CIDR ng VPC, isang peer na network at isang on-premises na saklaw sa likod ng Transit Gateway. Naabot ng managed endpoint ang tatlo, ngunit bawat isa ay nangangailangan ng ruta at patakaran sa awtorisasyon, at bawat isa ay hiwalay na linya sa iyong pangangailangan.

Hakbang 2: ilista ang tumatakbo na

Bago magdisenyo ng kahit ano, ilista ang mga umiiral na endpoint at anumang server na naka-host sa EC2 kasama ang mga security group nito. Ang mga tawag na ito ay read-only at ligtas na patakbuhin mula sa account na may mga pahintulot na describe.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Basahin ang output bilang mapa ng naaabot na ng mga kliyente. Ang kulang na patakaran sa awtorisasyon ay nagpapaliwanag ng pagkabigo na mukhang problema sa routing, at ang endpoint na nauugnay sa isang subnet ay nagpapaliwanag kung bakit pinatumba ng pagkabigo ng zone ang buong serbisyo.

Itala rin ang mga security group na naka-attach sa anumang self-hosted na instance. Ang mga patakarang iyon ay bahagi ng modelo ng pag-access, at sila ang unang tahimik na nasisira kapag may muling nagtayo ng instance mula sa template.

Hakbang 3: hatiin ang mga responsibilidad

Pagmamay-ari ng managed na serbisyo ang fleet ng endpoint, ang pag-patch nito at ang availability nito sa loob ng rehiyon. Pagmamay-ari mo ang pagpapatala ng pagkakakilanlan, mga patakaran sa awtorisasyon, ang mga landas ng network sa likod ng endpoint, ang configuration ng log at ang desisyon kung ilang subnet ang ikokonekta.

Binabaligtad ito ng self-hosting. Pagmamay-ari mo ang guest operating system, ang VPN daemon at ang configuration nito, mga sertipiko at key, mga backup, monitoring at recovery. Inilalagay ng modelo ng seguridad ng EC2 ang seguridad ng guest at application sa customer, at ang VPN server ay guest tulad ng iba pa.

Isulat ang paghahati bilang talahanayan na may mga pangalan sa kanang kolum. Kung walang pangalan ng kahit sino sa tabi ng pag-renew ng sertipiko, iyon ang natuklasan, at mas mahalaga iyon kaysa sa pagkakaiba sa oras-oras na gastos.

Hakbang 4: ihambing sa workload na kaya mong ilarawan

Ang gastos ay sumusunod sa hugis, hindi sa laki. Para sa managed na opsyon, bilangin ang mga oras ng endpoint association, oras ng koneksyon ng kliyente, transfer at ang mga serbisyo ng pagkakakilanlan at log na binubuksan mo. Para sa self-hosting, bilangin ang compute, storage, network, lisensya at ang oras ng inhinyero na nagpapanatiling naka-patch ang server. Ilagay ang dalawang set ng numero sa isang sheet na may parehong horizon ng oras. Ang paghahambing na tatlong taon na binabalewala ang mga oras ng patch ay laging papanig sa server na mayroon ka na.

Ang mga paghahambing ng performance ay nangangailangan ng parehong disiplina. Isang interactive na desktop session, isang malaking transfer at limampung sabay na maliliit na kahilingan ang nagpapabigat sa magkaibang bahagi ng landas: ang CPU para sa encryption, ang kakayahan ng network ng instance, ang stack ng kliyente mismo at ang destinasyon. Subukan gamit ang mga representatibong kliyente at ang parehong gawain sa parehong disenyo.

Ang mas malaking instance ay hindi patunay na magiging mas mabilis ang transfer, at ang isang matagumpay na session ay hindi plano sa kapasidad. Ituring ang anumang namamana na kuwento tungkol sa mga pamilya ng instance bilang hypothesis na susubukan, hindi bilang tuntunin sa pagbili.

Hakbang 5: lumipat gamit ang rollback na naranasan mo na

Patakbuhin ang dalawang endpoint nang sabay para sa takdang panahon, ipamahagi muna ang bagong profile ng kliyente sa maliit na grupo, at huwag galawin ang mga patakaran sa awtorisasyon ng lumang endpoint hanggang magamit ng grupo ang bago sa tunay na trabaho. Ang rollback ay pagpapalit ng profile, hindi muling pagtatayo, kaya magpasya ngayon kung saan nakatira ang lumang profile.

I-verify sa ganitong pagkakasunod-sunod: nagtagumpay ang pagpapatunay, natanggap ng kliyente ang inaasahang ruta, sumasagot ang awtorisadong destinasyon at nabigo ang hindi awtorisadong destinasyon, at ipinapakita ng mga log ang dalawang pangyayari. Kung may hakbang na nabigo, huminto at ayusin ang hakbang na iyon sa halip na lumipat sa susunod na grupo ng kliyente. Isulat ang resulta ng bawat pagsusuri, dahil ang paglipat na natatandaan lamang bilang «gumana» ay hindi maaaring i-debug makalipas ang isang buwan.

Pagkatapos ng paglipat, iiskedyul ang mga nakakainip na pagsusuri: pag-expire ng sertipiko, bilang ng mga koneksyon, mga patakaran sa awtorisasyon na hindi na tumutugma sa isang grupo at ang bilang ng koneksyon laban sa iyong inaasahan. Ang gabay sa pangangasiwa ng Client VPN ang sanggunian para sa mga bahagi ng endpoint, pagpapatunay at routing na na-configure mo.