AWS Client VPN чи VPN на EC2: посібник з експлуатації

Обидва варіанти дають команді VPN для віддаленого доступу, тому цікаве питання не в тому, який існує, а в тому, який ви зможете експлуатувати. Різниця в тому, кому належить кінцева точка о 3 годині ночі і до яких механізмів керування ви дістанетеся, коли щось зламається. Пройдіть п’ять кроків нижче по порядку, бо кожен може завершити порівняння достроково. Саме пропуск кроку інвентаризації призводить до того, що команди мігрують двічі.

Крок 1: напишіть вимогу до рахунку

Вам потрібні п’ять фактів на одній сторінці: хто і проти чого проходить автентифікацію, які клієнтські платформи мають працювати, які приватні адресати доступні, яку доступність ви обіцяли і як насправді виглядає трафік. Без цього кожне подальше порівняння перетворюється на суперечку про список функцій.

Будьте конкретні щодо адресатів. «Доступ до VPC» зазвичай означає три різні речі: CIDR VPC, пірингову мережу і локальний діапазон за Transit Gateway. Керована кінцева точка досягає всіх трьох, але кожному потрібен маршрут і правило авторизації, і кожен є окремим рядком у вашій вимозі.

Крок 2: перелічіть те, що вже працює

Перш ніж щось проєктувати, перелічіть наявні кінцеві точки і будь-який сервер, розміщений на EC2, разом з його групами безпеки. Ці виклики лише для читання і безпечні для запуску з облікового запису з правами describe.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Читайте вивід як карту того, куди клієнти вже потрапляють. Відсутнє правило авторизації пояснює збій, що виглядає як проблема маршрутизації, а кінцева точка, пов’язана з однією підмережею, пояснює, чому збій зони поклав увесь сервіс.

Запишіть також групи безпеки, прикріплені до будь-якого власного інстансу. Ці правила є частиною моделі доступу, і саме вони першими тихо ламаються, коли хтось перебудовує інстанс із шаблону.

Крок 3: розділіть відповідальність

Керований сервіс володіє парком кінцевих точок, їхнім оновленням і доступністю в регіоні. Ви володієте реєстрацією ідентичностей, правилами авторизації, мережевими шляхами за кінцевою точкою, налаштуванням журналів і рішенням про те, скільки підмереж пов’язати.

Власний хостинг перевертає це. Ви володієте гостьовою операційною системою, демоном VPN і його конфігурацією, сертифікатами та ключами, резервними копіями, моніторингом і відновленням. Модель безпеки EC2 покладає безпеку гостьової системи й застосунку на клієнта, а VPN-сервер — такий самий гість, як будь-який інший.

Запишіть розподіл таблицею з іменами в правому стовпці. Якщо поруч із поновленням сертифікатів не буде чийогось імені, це і є висновок, і він важливіший за різницю в ціні за годину.

Крок 4: порівнюйте з робочим навантаженням, яке можете описати

Вартість іде за формою, а не за розміром. Для керованого варіанта порахуйте години прив’язки кінцевих точок, години клієнтських підключень, передавання та увімкнені вами сервіси ідентифікації й журналювання. Для власного хостингу порахуйте обчислення, сховище, мережу, ліцензії та інженерний час, який тримає сервер оновленим. Помістіть обидва набори чисел в одну таблицю з одним горизонтом часу. Трирічне порівняння, яке ігнорує години оновлень, завжди буде на користь сервера, який у вас уже є.

Порівняння продуктивності вимагають тієї ж дисципліни. Одна інтерактивна сесія робочого столу, одне велике передавання і п’ятдесят одночасних дрібних запитів навантажують різні ділянки шляху: процесор для шифрування, мережеві можливості інстансу, власний стек клієнта і адресат. Тестуйте з репрезентативними клієнтами та тим самим завданням в обох варіантах.

Більший інстанс не доводить, що передавання буде швидшим, а одна успішна сесія не є планом потужності. Будь-які успадковані розповіді про родини інстансів сприймайте як гіпотезу для перевірки, а не як правило закупівлі.

Крок 5: переходьте з відкатом, який ви вже відпрацювали

Запустіть обидві кінцеві точки паралельно на визначений термін, спочатку роздайте новий клієнтський профіль невеликій групі й не чіпайте правила авторизації старої кінцевої точки, доки група не використає нову в реальній роботі. Відкат — це зміна профілю, а не перебудова, тому вирішіть зараз, де живе старий профіль.

Перевіряйте в такому порядку: автентифікація проходить, клієнт отримує очікувані маршрути, авторизований адресат відповідає, неавторизований адресат зазнає невдачі, і журнали показують обидві події. Якщо якийсь крок не вдався, зупиніться й виправте саме цей крок, замість того щоб переходити до наступної групи клієнтів. Записуйте результат кожної перевірки, бо перехід, який пам’ятають лише як «спрацювало», через місяць не налагодити.

Після переходу заплануйте нудні перевірки: термін дії сертифікатів, кількість прив’язок, правила авторизації, які більше не відповідають групі, і кількість підключень проти ваших очікувань. Посібник з адміністрування Client VPN — це довідка для налаштованих вами частин кінцевої точки, автентифікації та маршрутизації.