EC2 Windows: VPN-kliënt, VPN-bediener of AWS-gateway?
'n Windows EC2-instansie kan VPN-sagteware laat loop, maar 'n kliënt, 'n selfbestuurde bediener en 'n AWS-gateway is verskillende rolle met verskillende eienaars.
'n Span het VPN-verbinding nodig vir 'n toepassing wat op 'n Windows EC2-instansie loop, vind versoenbare kliëntsagteware, installeer dit en vra dan waarom die res van die VPC dit nie kan gebruik nie. Die installasie het gewerk; die rol is nooit besluit nie. Sagteware wat binne 'n gas loop, kan 'n kliënt wees wat by iemand anders se netwerk aansluit, 'n bediener wat ander kliënte aanvaar, of nie een van die AWS-bestuurde VPN-produkte nie, en elke rol laat verskillende werk by jou.
Die simptoom is gewoonlik die verkeerde rol
Die algemene simptoom is 'n werkende tonnel wat die verkeerde probleem oplos. 'n Kliënt in die VM gee daardie VM 'n uitgaande pad; dit gee nie jou skootrekenaar, jou kantoor of 'n ander subnet 'n weg in nie. 'n Bediener in die VM gee ander 'n weg in, maar nou besit jy die luisteraar, die verifikasie en die deurgewing.
Bestuurde dienste skuif die diensbedryf na AWS en laat die ontwerp by jou. Site-to-Site VPN verbind netwerke deur 'n kliëntpoort en 'n AWS-poort, en Client VPN gee afgeleë toestelle 'n bestuurde eindpunt. In albei gevalle is die roetes, die magtigingsreëls en die identiteitsbron jou konfigurasie, en nie een van die produkte installeer 'n algemene kliënt binne 'n Windows-gas nie.
Vier vorms is moontlik, en die tabel skei hulle volgens wat met wat verbind en wie die bedryfslas dra.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Lees die ry eerder as die produknaam: dieselfde Windows-instansie kan in twee verskillende rye sit, afhangend van watter sagteware daarin loop.
Kliënt binne die VM: die VM sluit by 'n netwerk aan
Voordat enigiets geïnstalleer word, moet 'n uitgaande kliënt die Windows-bou, die argitektuur en die drywervereistes nagegaan hê. Die kliënt sal roetes en DNS op die instansie verander, wat dienste wat reeds daar loop kan beïnvloed, insluitend die pad wat jy vir afstandbeheer gebruik. Teken die adapter se naam en die koppelvlakmetriek aan wat die kliënt stel, want die nuwe koppelvlak kan voorrang kry bo die bestaande een. As die instansie deur 'n sessiebestuurder eerder as SSH of RDP bestuur word, bevestig dat daardie pad nog werk nadat die kliënt aangesluit het.
Besluit watter verkeer die kliënt moet dra voordat jy dit aktiveer. 'n Volle tonnel kan die bestuursessie vasvang en jou uitsluit, en 'n gesplete tonnel kan die instansie die private netwerk laat bereik terwyl sy ander verkeer 'n ander uitgang neem. Toets met 'n tweede bestuurspad beskikbaar, en teken die roetes aan wat die kliënt installeer sodat 'n latere verandering verklaarbaar is.
Bediener binne die VM: ander kliënte sluit by hom aan
Vir 'n selfbestuurde bediener besit jy die luisteraar, die sertifikaat- of sleutelmateriaal, die gebruikersdatabasis en die deurgewingreëls. As die bediener verkeer vir ander kliënte deurgee, word die instansie 'n roeteerder, en dit vereis deurgewing op gasvlak plus veranderinge aan roetes en sekuriteitsgroepe op AWS-vlak.
Probeer die luisteraar uit die gas en weer uit 'n ander subnet, en probeer dan 'n gasheer waarvoor die instansie deurgee. 'n Gesonde plaaslike diens bewys niks oor die deurgegewe pad nie, so teken albei resultate in die veranderingsnota aan.
Bestuurde poorte hou die diens, nie jou toegangsontwerp nie
AWS Site-to-Site VPN dokumenteer die kliëntpoort- en AWS-poort-tonnelrolle, en die aankoop van daardie verbinding vervang nie elke afstandtoegangontwerp nie. Client VPN dokumenteer 'n bestuurde eindpunt met kliëntprofiele, terwyl die magtigingsreëls en teikenroetes joue bly. AWS hou die eindpunt en sy sertifikate aan die gang; wie watter toepassing mag bereik, is steeds 'n magtigingsreël wat jy skryf en onderhou.
Kies tussen die produkte op vyf asse: watter rol elkeen speel, watter protokolle dit aanvaar, watter identiteitsbron dit verwag, hoe verkeer deurgegee word en hoe beskikbaarheid gelewer word. Ignoreer enige enkele deursetferingsyfer wat in 'n forumdraad aangehaal word, want gepubliseerde kapasiteit beweeg saam met die diens. En moenie aanvaar dat 'n bestuurde tonnelpaar verander hoe 'n willekeurige gas-kliënt optree nie.
Kies die rol voor die produk
Skryf een sin wat die rigting noem: hierdie VM sluit by 'n netwerk aan, hierdie VM aanvaar kliënte, of 'n AWS-poort verbind gedefinieerde netwerke.
Daardie sin bepaal die produklys, die eienaar van die sagteware en die foutmodusse wat jy gaan ontfout. As die vereiste is dat afstandgebruikers 'n toepassing bereik, is 'n kliënt wat in die toepassing se VM geïnstalleer is die verkeerde vorm. As die vereiste is dat een VM 'n vennootnetwerk bereik, is 'n bestuurde site-to-site-poort meer masjinerie as wat die taak nodig het. Albei antwoorde is geldig; net een van hulle pas by die sin wat jy geskryf het.