AWS Client VPN یا EC2 پر VPN: ایک آپریٹنگ رن بک

دونوں آپشنز آپ کی ٹیم کو دور سے رسائی کے لیے VPN دیتے ہیں، اس لیے اہم سوال یہ نہیں کہ کون سا موجود ہے، بلکہ یہ ہے کہ آپ کون سا چلا سکتے ہیں۔ فرق یہ ہے کہ رات 3 بجے اینڈ پوائنٹ کا مالک کون ہے اور کچھ خراب ہونے پر آپ کن کنٹرولز تک پہنچتے ہیں۔ نیچے دیے گئے پانچ مراحل ترتیب سے مکمل کریں، کیونکہ ہر ایک موازنہ جلدی ختم کر سکتا ہے۔ انوینٹری کا مرحلہ چھوڑنا ہی وہ راستہ ہے جس سے ٹیمیں دو بار منتقل ہوتی ہیں۔

مرحلہ 1: بل سے پہلے ضرورت لکھیں

آپ کو ایک صفحے پر پانچ حقائق چاہیے: کون اور کس کے خلاف تصدیق کرتا ہے، کون سے کلائنٹ پلیٹ فارم کام کرنے چاہئیں، کون سی نجی منزلیں قابل رسائی ہیں، آپ نے کون سی دستیابی کا وعدہ کیا اور ٹریفک حقیقت میں کیسی ہے۔ ان کے بغیر ہر بعد کا موازنہ فیچر فہرست پر بحث بن جاتا ہے۔

منزلوں کے بارے میں واضح رہیں۔ «VPC تک رسائی» عام طور پر تین مختلف چیزیں معنی رکھتی ہے: VPC کا CIDR، ہم منصب نیٹ ورک اور Transit Gateway کے پیچھے آن پریمائسز رینج۔ منظم اینڈ پوائنٹ تینوں تک پہنچ سکتا ہے، مگر ہر ایک کے لیے راستہ اور اجازت کا قاعدہ درکار ہے، اور ہر ایک آپ کی ضرورت میں الگ سطر ہے۔

مرحلہ 2: جو پہلے سے چل رہا ہے اس کی فہرست بنائیں

کچھ بھی ڈیزائن کرنے سے پہلے، موجودہ اینڈ پوائنٹس اور EC2 پر میزبانی شدہ کسی بھی سرور کو اس کے سیکیورٹی گروپس کے ساتھ فہرست کریں۔ یہ کالیں صرف پڑھنے کے لیے ہیں اور describe اجازتوں والے اکاؤنٹ سے چلانا محفوظ ہے۔

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

آؤٹ پٹ کو اس نقشے کے طور پر پڑھیں کہ کلائنٹ پہلے ہی کہاں پہنچ سکتے ہیں۔ غائب اجازت کا قاعدہ ایسی ناکامی کی وضاحت کرتا ہے جو روٹنگ مسئلے جیسی لگتی ہے، اور ایک سب نیٹ سے منسلک اینڈ پوائنٹ بتاتا ہے کہ زون کی ناکامی نے پوری سروس کیوں گرا دی۔

خود میزبان کسی بھی انسٹانس سے منسلک سیکیورٹی گروپس بھی درج کریں۔ وہ قواعد رسائی ماڈل کا حصہ ہیں، اور جب کوئی ٹیمپلیٹ سے انسٹانس دوبارہ بناتا ہے تو سب سے پہلے وہی خاموشی سے ٹوٹتے ہیں۔

مرحلہ 3: ذمہ داریاں تقسیم کریں

منظم سروس اینڈ پوائنٹ فلیٹ، اس کی پیچنگ اور خطے میں اس کی دستیابی کی مالک ہے۔ آپ شناخت کی رجسٹریشن، اجازت کے قواعد، اینڈ پوائنٹ کے پیچھے نیٹ ورک راستوں، لاگ کنفیگریشن اور کتنے سب نیٹ جوڑنے کے فیصلے کے مالک ہیں۔

خود میزبانی اسے الٹ دیتی ہے۔ آپ مہمان آپریٹنگ سسٹم، VPN ڈیمون اور اس کی کنفیگریشن، سرٹیفکیٹ اور چابیاں، بیک اپ، نگرانی اور بحالی کے مالک ہیں۔ EC2 سیکیورٹی ماڈل مہمان اور ایپلیکیشن سیکیورٹی گاہک پر رکھتا ہے، اور VPN سرور کسی بھی دوسرے مہمان کی طرح مہمان ہے۔

تقسیم کو دائیں کالم میں ناموں والی جدول کے طور پر لکھیں۔ اگر سرٹیفکیٹ کی تجدید کے ساتھ کسی کا نام نہ آئے تو یہی اصل دریافت ہے، اور یہ فی گھنٹہ لاگت کے فرق سے زیادہ اہم ہے۔

مرحلہ 4: اس ورک لوڈ سے موازنہ کریں جسے آپ بیان کر سکتے ہیں

لاگت شکل کی پیروی کرتی ہے، سائز کی نہیں۔ منظم آپشن کے لیے اینڈ پوائنٹ منسلکہ گھنٹے، کلائنٹ کنکشن کے گھنٹے، منتقلی اور وہ شناخت و لاگ سروسز جو آپ فعال کرتے ہیں گنیں۔ خود میزبانی کے لیے کمپیوٹ، اسٹوریج، نیٹ ورکنگ، لائسنس اور وہ انجینئرنگ وقت گنیں جو سرور کو پیچ شدہ رکھتا ہے۔ دونوں عددی مجموعے ایک ہی وقت کی حد کے ساتھ ایک شیٹ میں رکھیں۔ پیچنگ کے گھنٹوں کو نظر انداز کرنے والا تین سالہ موازنہ ہمیشہ اسی سرور کے حق میں ہوگا جو آپ کے پاس پہلے سے ہے۔

کارکردگی کے موازنے بھی وہی نظم چاہتے ہیں۔ ایک انٹرایکٹو ڈیسک ٹاپ سیشن، ایک بڑی منتقلی اور بیک وقت پچاس چھوٹی درخواستیں راستے کے مختلف حصوں پر دباؤ ڈالتی ہیں: انکرپشن کے لیے CPU، انسٹانس کی نیٹ ورک صلاحیت، کلائنٹ کا اپنا اسٹیک اور منزل۔ نمائندہ کلائنٹس کے ساتھ اور دونوں ڈیزائنوں میں ایک ہی کام سے جانچیں۔

بڑا انسٹانس اس بات کا ثبوت نہیں کہ منتقلی تیز ہوگی، اور ایک کامیاب سیشن صلاحیت کا منصوبہ نہیں۔ انسٹانس خاندانوں کے بارے میں وراثت میں ملی کوئی بھی بات خریداری کے قاعدے کے طور پر نہیں، بلکہ جانچنے کے قابل مفروضے کے طور پر لیں۔

مرحلہ 5: اس رول بیک کے ساتھ منتقل ہوں جو آپ پہلے چلا چکے ہیں

مقررہ مدت کے لیے دونوں اینڈ پوائنٹس متوازی چلائیں، نئی کلائنٹ پروفائل پہلے چھوٹے گروپ میں تقسیم کریں، اور جب تک گروپ نئی کو حقیقی کام میں استعمال نہ کرے پرانے اینڈ پوائنٹ کے اجازت کے قواعد کو نہ چھیڑیں۔ رول بیک پروفائل کی تبدیلی ہے، دوبارہ تعمیر نہیں، اس لیے ابھی طے کریں کہ پرانی پروفائل کہاں رہتی ہے۔

اس ترتیب سے جانچیں: تصدیق کامیاب ہوتی ہے، کلائنٹ کو متوقع راستے ملتے ہیں، مجاز منزل جواب دیتی ہے اور غیر مجاز منزل ناکام ہوتی ہے، اور لاگ دونوں واقعات دکھاتے ہیں۔ اگر کوئی مرحلہ ناکام ہو تو اگلے کلائنٹ گروپ کی طرف جانے کے بجائے رکیں اور اسی مرحلے کو درست کریں۔ ہر جانچ کا نتیجہ لکھیں، کیونکہ صرف «کام کر گیا» کے طور پر یاد رہنے والی منتقلی ایک ماہ بعد ڈیبگ نہیں ہو سکتی۔

منتقلی کے بعد بورنگ جانچیں شیڈول کریں: سرٹیفکیٹ کی میعاد، منسلکات کی تعداد، وہ اجازت کے قواعد جو اب کسی گروپ سے مطابقت نہیں رکھتے، اور آپ کی توقع کے مقابلے کنکشنز کی تعداد۔ Client VPN انتظامی گائیڈ آپ کی ترتیب کردہ اینڈ پوائنٹ، تصدیق اور روٹنگ حصوں کا حوالہ ہے۔