AWS Client VPN أم Site-to-Site: تحقق من الذي يفتح الاتصال
Client VPN يصادق على جهاز أو مستخدم، وSite-to-Site يصل بوابة بـ AWS. أربعة فحوص تحدد أي النموذجين يحتاجه حاسوبك أو فرعك فعلاً.
أربعة فحوص تحسم الأمر، ولا واحد منها هو اسم البروتوكول. من يفتح الاتصال، وما تصادق عليه AWS، وكيف يتصل الاتصال بشبكتك، وما يأتي معه من توجيه وسياسة. أجب عن هذه بالترتيب فتختار المنتج عادة من تلقاء نفسها؛ وأجب عنها بعد أن تكون قد اشتريت تصميماً فستجد نفسك تدافع عن نفق يحل النصف الخاطئ من المشكلة. ولا واحد من الفحوص الأربعة يطلب منك اختيار شيفرة، ولهذا يكون التصميم الذي يبدأ بالبروتوكول عادة علامة على أن المتطلبات لم تُكتب قط.
نفّذ كل فحص على نقطة النهاية والعميل وعائلة العناوين التي تنوي استخدامها فعلاً، لا على الفئة. فمنتجات VPN المُدارة تختلف عن لبنات OpenVPN وIPsec التي تشبهها.
أولاً، من يفتح الاتصال
إذا كان الشيء الذي يحتاج إلى وصول حاسوباً محمولاً أو هاتفاً أو محطة عمل لمسؤول واحد، فإن الاتصال يبدأ من جهاز بعيد والتصميم هو وصول العملاء عن بعد. وإذا كان الشيء الذي يحتاج إلى وصول فرعاً مليئاً بالأجهزة خلف موجه واحد، فإن الاتصال يبدأ من ذلك الموجه والتصميم هو بوابة إلى بوابة. هذا هو الفحص الذي يحسم معظم الحالات، وهو الذي يتخطاه الناس عندما يكون عرض المورّد قد صاغ الحوار حول الشيفرات سلفاً.
توقف هنا إذا لم تستطع تسمية المكوّن الذي يبدأ الاتصال. فالتصميم الذي يحاول خدمة الحالتين بنفق واحد ينتهي عادة بجلسة عميل تتنكر في هيئة بوابة.
ثانياً، ما تصادق عليه AWS
مع Client VPN تصادق AWS على هوية العميل أو المستخدم المهيأة: شهادات أو دليل أو هوية اتحادية، حسب الإعداد. ومع Site-to-Site VPN تصادق AWS على هوية النظير في البوابة. وهذا الفرق ليس شكلياً. أحد النموذجين يتوسع بإضافة المستخدمين وإلغاء أوراق اعتمادهم؛ والآخر يتوسع بالثقة في كل ما يقف خلف بوابة واحدة.
مصادقة البوابة لا تصادق على كل موظف أو تطبيق خلفها، لذا أبقِ هويات التطبيقات والوصول على مستوى المورد قائماً حتى حين يكون النفق نفسه موثوقاً. فالفرع الذي يحمل موجهه هوية نظير صحيحة لا ينبغي أن يُقرأ تلقائياً كما لو كان كل مكتب في ذلك المبنى مخوّلاً.
ثالثاً، كيف يتصل الاتصال
يتصل Client VPN عبر ارتباطات شبكات فرعية في VPC أو ارتباط مباشر مدعوم بـ Transit Gateway. ويتصل Site-to-Site VPN بهدف AWS VPN، وهو عادة بوابة خاصة افتراضية أو Transit Gateway. ودليل معمارية Client VPN يوثّق خيار Transit Gateway، ووجوده لا يحوّل جلسة حاسوب محمول إلى بوابة فرع ولا يزيل مصادقة العميل والتفويض الموصوفين أعلاه.
تحقق من الارتباط الذي يدعمه حسابك ومنطقتك فعلاً قبل أن تصمم المسارات حوله، ثم تحقق من مالك ذلك الارتباط. فالخيار الموجود في الوثائق لكنه يقيم على شبكة لا تستطيع تهيئتها ليس خياراً.
رابعاً، ما يأتي معه من توجيه وسياسة
يجلب Client VPN إدارة اتصالات العملاء وقواعد تفويض للشبكات الوجهة التي تسمح بها. فالمستخدم المتصل ما زال يحتاج إلى مسار نقطة النهاية المقصودة، وقاعدة تفويض تسمح به، وأي وصول يتطلبه المورد نفسه. أما Site-to-Site VPN فيوجّه بين الشبكات التي تمثلها بوابة العميل، باستخدام مسارات ثابتة مدعومة أو BGP حسب التصميم، لذا لا تحتاج كل آلة خلف موجه الفرع إلى تسجيل دخول عميل.
لا تستنتج سلوكاً غير مدعوم من الفئة في أي اتجاه. فشبكات VPN للوصول عن بعد ليست عاجزة عالمياً عن حمل حركة العودة أو دعم ترتيبات البوابة، وIPsec لا يحجبه NAT تلقائياً — فAWS توثّق اجتياز NAT ومتطلبات بوابة العميل، وتهيئة البوابة المدعومة هي القيد الحقيقي. تحقق من القيود الخاصة بنقطة نهايتك قبل أن تشترط اتصالات تبدأ نحو العملاء أو تمرر شبكة محلية خلف جلسة واحدة. والتحذير نفسه ينطبق على عائلات العناوين: نقطة نهاية تعمل عبر IPv4 لا تعني مسار IPv6، لذا تأكد من العائلة التي سيتفاوض عليها عميلك أو بوابتك فعلاً.
يمنحك Site-to-Site VPN نفقين لكل اتصال، وهذه التكرارية مهمة تصميمية لا ميزة تفترضها. فتشغيل بوابة العميل والتحويل الاحتياطي للمسارات وتغطية الاختبار كلها يجب أن تُخطط؛ ومقارنة جلسة حاسوب محمول واحدة بخادم VPN مجرد لا تثبت شيئاً عن أي منهما.
حيث يلتقي التصميمان
الخدمتان ليستا متنافيتين، والشكل الإنتاجي الشائع يستخدمهما معاً: الموظفون على Client VPN، وشبكات الفروع على Site-to-Site، مع مسارات صريحة وسياسة وصول بين الوجهات التي يجب أن تتواصل. والجدول تلخيص للفحوص الأربعة، وليس بديلاً عن تنفيذها.
| Question | AWS Client VPN | AWS Site-to-Site VPN |
|---|---|---|
| Who establishes it? | A client on a remote device | A customer gateway device or appliance |
| What is authenticated? | The client or user identity | The gateway peer identity |
| How does it attach? | VPC subnet association or Transit Gateway | Virtual private gateway or Transit Gateway |
| What carries the path? | An OpenVPN-based client tunnel | IPsec tunnels to AWS endpoints |
شيء واحد لا يعوّضه أي من المنتجين: TLS إلى تطبيق تمتد متطلبات تشفيره إلى ما بعد نقطة نهاية VPN. فإذا كان نطاق الامتثال لديك ينتهي عند التطبيق، فالنفق نقل والشهادة ما زالت الضابط.
اكتب الإجابات الأربع قبل مراجعة التصميم، سطراً لكل منها. وحين تتناقض اثنتان منها — مثلاً تصميم عميل مصادَق عليه بالمستخدم مع متطلب توجيه بحجم فرع — فذلك التناقض هو النتيجة، ورؤيته الآن أرخص من رؤيته أثناء التحويل.