AWS Client VPN yoki EC2’dagi VPN: operatsion qo‘llanma

Ikkala variant ham jamoangizga masofaviy kirish VPN’ini beradi, shuning uchun muhim savol qaysi biri mavjudligida emas, balki qaysi birini boshqara olishingizda. Farq tunda soat 3 da so‘nggi nuqtaga kim egalik qilishida va biror narsa buzilganda qanday boshqaruv vositalariga yetib borishingizda. Quyidagi besh qadamni tartib bilan bajaring, chunki har biri taqqoslashni erta tugatishi mumkin. Inventarizatsiya qadamini o‘tkazib yuborish — jamoalar ikki marta ko‘chib o‘tishining aynan sababi.

1-qadam: talabni hisobdan oldin yozing

Bitta sahifada besh fakt kerak: kim va nimaga qarshi autentifikatsiya qiladi, qaysi mijoz platformalari ishlashi kerak, qaysi xususiy manzillarga yetib borish mumkin, qanday mavjudlikni va’da qilgansiz va trafik aslida qanday ko‘rinadi. Bularsiz har bir keyingi taqqoslash funksiyalar ro‘yxati haqidagi bahsga aylanadi.

Manzillar bo‘yicha aniq bo‘ling. «VPC’ga kirish» odatda uch xil narsani bildiradi: VPC CIDR, peer bilan bog‘langan tarmoq va Transit Gateway orqasidagi mahalliy diapazon. Boshqariladigan so‘nggi nuqta uchalasiga ham yetadi, lekin har biriga marshrut va ruxsat qoidasi kerak, va har biri talabingizda alohida satr.

2-qadam: hozir ishlab turganini sanang

Biror narsani loyihalashdan oldin mavjud so‘nggi nuqtalarni va EC2’da joylashtirilgan har qanday serverni uning xavfsizlik guruhlari bilan sanang. Bu chaqiruvlar faqat o‘qish uchun va describe ruxsatlari bo‘lgan hisobdan ishga tushirish xavfsiz.

aws ec2 describe-client-vpn-endpoints
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-xxxx
aws ec2 describe-instances --filters Name=tag:role,Values=vpn

Natijani mijozlar hozir nimaga yetib borishining xaritasi sifatida o‘qing. Yetishmayotgan ruxsat qoidasi marshrutlash muammosiga o‘xshaydigan nosozlikni tushuntiradi, bitta subnetga bog‘langan so‘nggi nuqta esa zona nosozligi nega butun xizmatni yiqitganini tushuntiradi.

O‘zingiz joylashtirgan har qanday instansga biriktirilgan xavfsizlik guruhlarini ham yozib qo‘ying. Bu qoidalar kirish modelining qismi, va kimdir instansni shablondan qayta qurganda birinchi bo‘lib jimgina buziladigan narsa shular.

3-qadam: mas’uliyatlarni taqsimlang

Boshqariladigan xizmat so‘nggi nuqtalar parkiga, ularning yamalanishiga va region ichidagi mavjudligiga ega. Siz identifikatsiya ro‘yxatga olish, ruxsat qoidalari, so‘nggi nuqta orqasidagi tarmoq yo‘llari, jurnal konfiguratsiyasi va qancha subnet bog‘lash qaroriga egasiz.

O‘zingiz joylashtirish buni teskari qiladi. Siz mehmon operatsion tizimiga, VPN demoni va uning konfiguratsiyasiga, sertifikatlar va kalitlarga, zaxira nusxalarga, monitoring va tiklashga egasiz. EC2 xavfsizlik modeli mehmon va ilova xavfsizligini mijozga yuklaydi, VPN server ham boshqa har qanday mehmon kabi mehmondir.

Taqsimotni o‘ng ustunda ismlar bilan jadval sifatida yozing. Sertifikatlarni yangilash yonida hech kimning ismi chiqmasa, bu asosiy topilma va u soatlik narx farqidan muhimroq.

4-qadam: tavsiflay oladigan ish yuki bilan taqqoslang

Xarajat shaklga ergashadi, hajmga emas. Boshqariladigan variant uchun so‘nggi nuqtalarni bog‘lash soatlari, mijoz ulanish soatlari, uzatish va siz yoqadigan identifikatsiya hamda jurnal xizmatlarini sanang. O‘zingiz joylashtirish uchun hisoblash, saqlash, tarmoq, litsenziyalar va serverni yamalangan holda ushlab turadigan muhandislik vaqtini sanang. Ikkala raqam to‘plamini bir xil vaqt ufqi bilan bitta varaqda joylashtiring. Yamalash soatlarini e’tiborsiz qoldiradigan uch yillik taqqoslash har doim sizda bor serverni qo‘llab-quvvatlaydi.

Unumdorlik taqqoslashlari ham xuddi shu tartibni talab qiladi. Bitta interaktiv ish stoli sessiyasi, bitta katta uzatish va ellikta bir vaqtdagi kichik so‘rov yo‘lning turli qismlariga bosim beradi: shifrlash uchun protsessor, instansning tarmoq imkoniyati, mijozning o‘z steki va manzil. Vakillik qiluvchi mijozlar bilan va ikkala dizaynda bir xil vazifa bilan sinab ko‘ring.

Kattaroq instans uzatish tezroq bo‘lishiga dalil emas, va bitta muvaffaqiyatli sessiya sig‘im rejasi emas. Instans oilalari haqida meros bo‘lib qolgan har qanday gaplarni xarid qoidasi emas, sinovdan o‘tkaziladigan faraz sifatida qabul qiling.

5-qadam: o‘zingiz bajargan qaytarish bilan o‘ting

Ikkala so‘nggi nuqtani belgilangan muddat davomida parallel ishga tushiring, yangi mijoz profilini avval kichik guruhga tarqating va guruh yangisini haqiqiy ishda ishlatmaguncha eski so‘nggi nuqtaning ruxsat qoidalariga tegmang. Qaytarish — profilni almashtirish, qayta qurish emas, shuning uchun eski profil qayerda yashashini hozir hal qiling.

Shu tartibda tekshiring: autentifikatsiya muvaffaqiyatli o‘tadi, mijoz kutilgan marshrutlarni oladi, ruxsat etilgan manzil javob beradi, ruxsat etilmagan manzil muvaffaqiyatsiz bo‘ladi, va jurnallar ikkala hodisani ko‘rsatadi. Har qanday qadam muvaffaqiyatsiz bo‘lsa, keyingi mijoz guruhiga o‘tish o‘rniga to‘xtang va o‘sha qadamni tuzating. Har bir tekshiruv natijasini yozib qo‘ying, chunki faqat «ishladi» deb eslab qolinadigan o‘tishni bir oydan keyin tuzatib bo‘lmaydi.

O‘tishdan keyin zerikarli tekshiruvlarni rejalashtiring: sertifikatlar muddati, bog‘lanishlar soni, endi hech qaysi guruhga mos kelmaydigan ruxsat qoidalari va kutgan natijangizga qarshi ulanishlar soni. Client VPN boshqaruv qo‘llanmasi siz sozlagan so‘nggi nuqta, autentifikatsiya va marshrutlash qismlari uchun manba.