AWS Client VPN mi yoksa EC2 üzerinde VPN mi: bir işletim el kitabı

Her iki seçenek de ekibinize uzaktan erişim VPN’i sağlar, bu yüzden ilginç soru hangisinin var olduğu değil, hangisini işletebildiğinizdir. Fark, gece saat 3’te uç noktanın sahibinin kim olduğu ve bir şey bozulduğunda hangi kontrollere ulaşabildiğinizdir. Aşağıdaki beş adımı sırayla izleyin, çünkü her biri karşılaştırmayı erken bitirebilir. Envanter adımını atlamak, ekiplerin iki kez taşınmasının tam nedenidir.

Adım 1: gereksinimi faturadan önce yazın

Tek sayfada beş gerçeğe ihtiyacınız var: kimin neye karşı kimlik doğruladığı, hangi istemci platformlarının çalışması gerektiği, hangi özel hedeflere ulaşılabildiği, hangi kullanılabilirliği vaat ettiğiniz ve trafiğin gerçekte nasıl göründüğü. Bunlar olmadan sonraki her karşılaştırma bir özellik listesi tartışmasına dönüşür.

Hedefler konusunda somut olun. «VPC’ye erişim» genellikle üç farklı şey demektir: VPC’nin CIDR’ı, eşlenmiş bir ağ ve bir Transit Gateway arkasındaki şirket içi aralık. Yönetilen bir uç nokta üçüne de ulaşır, ancak her biri bir rota ve bir yetkilendirme kuralı gerektirir ve her biri gereksiniminizde ayrı bir satırdır.

Adım 2: hâlihazırda çalışanları listeleyin

Herhangi bir şey tasarlamadan önce mevcut uç noktaları ve EC2 üzerinde barındırılan her sunucuyu güvenlik gruplarıyla birlikte listeleyin. Bu çağrılar salt okunurdur ve describe izinleri olan bir hesaptan çalıştırmak güvenlidir.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Çıktıyı istemcilerin hâlihazırda nereye ulaştığının haritası olarak okuyun. Eksik bir yetkilendirme kuralı, yönlendirme sorunu gibi görünen bir arızayı açıklar; tek bir alt ağa bağlı uç nokta ise bir bölge arızasının tüm hizmeti neden düşürdüğünü açıklar.

Kendi barındırdığınız her örneğe bağlı güvenlik gruplarını da kaydedin. Bu kurallar erişim modelinin parçasıdır ve biri örneği şablondan yeniden kurduğunda sessizce ilk bozulan şey onlardır.

Adım 3: sorumlulukları paylaşın

Yönetilen hizmet uç nokta filosuna, yamalanmasına ve bölge içindeki kullanılabilirliğine sahiptir. Siz kimlik kaydına, yetkilendirme kurallarına, uç noktanın arkasındaki ağ yollarına, günlük yapılandırmasına ve kaç alt ağın ilişkilendirileceği kararına sahipsiniz.

Kendi barındırma bunu tersine çevirir. Siz konuk işletim sistemine, VPN servisine ve yapılandırmasına, sertifikalara ve anahtarlara, yedeklere, izlemeye ve kurtarmaya sahipsiniz. EC2 güvenlik modeli konuk ve uygulama güvenliğini müşteriye bırakır ve bir VPN sunucusu da herhangi bir konuk gibidir.

Paylaşımı sağ sütunda adların olduğu bir tablo olarak yazın. Sertifika yenilemesinin yanında kimsenin adı yoksa bulgu budur ve saatlik maliyet farkından daha önemlidir.

Adım 4: tanımlayabildiğiniz bir iş yüküyle karşılaştırın

Maliyet biçimi izler, boyutu değil. Yönetilen seçenek için uç nokta ilişkilendirme saatlerini, istemci bağlantı saatlerini, transferi ve etkinleştirdiğiniz kimlik ile günlük hizmetlerini sayın. Kendi barındırma için işlem gücünü, depolamayı, ağı, lisansları ve sunucuyu yamalı tutan mühendislik süresini sayın. İki sayı kümesini aynı zaman ufkuna sahip tek bir sayfaya koyun. Yama saatlerini yok sayan üç yıllık bir karşılaştırma her zaman zaten sahip olduğunuz sunucuyu kayıracaktır.

Performans karşılaştırmaları da aynı disiplini gerektirir. Bir etkileşimli masaüstü oturumu, bir büyük transfer ve elli eşzamanlı küçük istek yolun farklı bölümlerini zorlar: şifreleme için CPU, örneğin ağ kapasitesi, istemcinin kendi yığını ve hedef. Temsili istemcilerle ve aynı görevle iki tasarımda test edin.

Daha büyük bir örnek, transferin daha hızlı olacağının kanıtı değildir ve tek bir başarılı oturum kapasite planı değildir. Örnek aileleri hakkında devraldığınız her anlatıyı satın alma kuralı değil, test edilecek bir varsayım olarak ele alın.

Adım 5: daha önce çalıştırdığınız bir geri alma ile geçiş yapın

İki uç noktayı belirli bir süre paralel çalıştırın, yeni istemci profilini önce küçük bir gruba dağıtın ve grup yenisini gerçek işte kullanana kadar eski uç noktanın yetkilendirme kurallarına dokunmayın. Geri alma yeniden inşa değil profil değişimidir, bu yüzden eski profilin nerede yaşadığına şimdi karar verin.

Şu sırayla doğrulayın: kimlik doğrulama başarılı olur, istemci beklenen rotaları alır, yetkili hedef yanıt verir ve yetkisiz hedef başarısız olur, ve günlükler her iki olayı da gösterir. Herhangi bir adım başarısız olursa, sonraki istemci grubuna geçmek yerine durun ve o adımı düzeltin. Her kontrolün sonucunu yazın, çünkü yalnızca «işe yaradı» olarak hatırlanan bir geçiş bir ay sonra hata ayıklanamaz.

Geçişten sonra sıkıcı kontrolleri planlayın: sertifika süresi, ilişkilendirme sayısı, artık bir grupla eşleşmeyen yetkilendirme kuralları ve beklentinize karşı bağlantı sayısı. Client VPN yönetim kılavuzu yapılandırdığınız uç nokta, kimlik doğrulama ve yönlendirme bölümleri için referanstır.