عميل VPN أو خادم VPN أو بوابة AWS على Windows EC2؟
يمكن أن تشغّل نسخة EC2 من Windows برامج VPN، لكن العميل والخادم المُدار ذاتيًا وبوابة AWS أدوار مختلفة بأصحاب مختلفين.
يحتاج فريق إلى اتصال VPN لتطبيق يعمل على نسخة EC2 من Windows، فيجد برنامج عميل متوافقًا ويثبّته، ثم يسأل لماذا لا يستطيع بقية الـ VPC استخدامه. لقد نجح التثبيت؛ لكن الدور لم يُحدَّد قط. يمكن أن يكون البرنامج الذي يعمل داخل ضيف عميلًا ينضم إلى شبكة شخص آخر، أو خادمًا يقبل عملاء آخرين، أو ألّا يكون أيًّا من منتجَي VPN المُدارَين من AWS، وكل دور يترك لك عملًا مختلفًا.
العَرَض عادةً هو الدور الخاطئ
العَرَض الشائع نفق يعمل لكنه يحل المشكلة الخاطئة. العميل داخل الآلة الافتراضية يمنحها مسارًا صادرًا؛ لكنه لا يمنح حاسوبك المحمول أو مكتبك أو شبكة فرعية أخرى طريقًا للدخول. الخادم داخل الآلة يمنح الآخرين طريقًا للدخول، لكنك الآن تملك المستمع والمصادقة وإعادة التوجيه.
تنقل الخدمات المُدارة تشغيل الخدمة إلى AWS وتترك التصميم لك. يربط Site-to-Site VPN الشبكات عبر بوابة العميل وبوابة AWS، ويمنح Client VPN الأجهزة البعيدة نقطة نهاية مُدارة. في الحالتين تكون المسارات وقواعد التفويض ومصدر الهوية من إعدادك أنت، ولا يثبّت أي من المنتجين عميلًا عام الأغراض داخل ضيف Windows.
أربعة أشكال ممكنة، والجدول يفصل بينها بحسب ما يتصل بماذا ومن يحمل العبء التشغيلي.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
اقرأ الصف لا اسم المنتج: يمكن أن تقع نسخة Windows نفسها في صفين مختلفين بحسب البرنامج الذي يعمل داخلها.
العميل داخل الآلة: الآلة تنضم إلى شبكة
يحتاج العميل الصادر إلى فحص إصدار Windows والمعمارية ومتطلبات برنامج التشغيل قبل تثبيت أي شيء. سيغيّر العميل المسارات وDNS على النسخة، وهذا قد يؤثر في خدمات تعمل هناك بالفعل، بما في ذلك المسار الذي تستخدمه للإدارة عن بُعد. سجّل اسم المحوّل ومقياس الواجهة الذي يضبطه العميل، لأن الواجهة الجديدة قد تتقدم على القائمة. وإذا كانت النسخة تُدار عبر مدير جلسات لا عبر SSH أو RDP، فتأكد أن ذلك المسار ما زال يعمل بعد اتصال العميل.
قرّر أي حركة يجب أن يحملها العميل قبل تفعيله. قد يلتقط النفق الكامل جلسة الإدارة ويحبسك خارجها، وقد يترك النفق المنقسم النسخة تصل إلى الشبكة الخاصة بينما تأخذ حركتها الأخرى مخرجًا مختلفًا. اختبر مع وجود مسار إدارة ثانٍ متاح، وسجّل المسارات التي يثبّتها العميل ليكون أي تغيير لاحق قابلًا للتفسير.
الخادم داخل الآلة: عملاء آخرون ينضمون إليه
في الخادم المُدار ذاتيًا تملك أنت المستمع والمادة الخاصة بالمفتاح أو الشهادة وقاعدة بيانات المستخدمين وقواعد إعادة التوجيه. وإذا كان الخادم يعيد توجيه الحركة لعملاء آخرين، تصبح النسخة موجّهًا، وهذا يتطلب إعادة توجيه على مستوى الضيف إضافة إلى تغييرات في المسارات ومجموعات الأمان على مستوى AWS.
افحص المستمع من داخل الضيف ثم من شبكة فرعية أخرى، ثم افحص مضيفًا تعيد النسخة توجيه الحركة له. الخدمة المحلية السليمة لا تثبت شيئًا عن المسار المُعاد توجيهه، لذا سجّل النتيجتين في مذكرة التغيير.
البوابات المُدارة تحتفظ بالخدمة لا بتصميم وصولك
توثّق AWS Site-to-Site VPN أدوار النفق الخاصة ببوابة العميل وبوابة AWS، وشراء ذلك الاتصال لا يستبدل كل تصميم للوصول عن بُعد. توثّق Client VPN نقطة نهاية مُدارة بشخصيات عملاء، بينما تبقى قواعد التفويض والمسارات الهدف ملكك. تحافظ AWS على تشغيل نقطة النهاية وشهاداتها؛ أما من يحق له الوصول إلى أي تطبيق فما زال قاعدة تفويض تكتبها وتصونها.
اختر بين المنتجات على خمسة محاور: أي دور يلعبه كل منها، وأي البروتوكولات يقبل، وأي مصدر هوية يتوقع، وكيف تُعاد توجيه الحركة، وكيف تُقدَّم الإتاحة. تجاهل أي رقم إنتاجية مفرد يُقتبس في خيط منتدى، لأن السعة المنشورة تتغير مع الخدمة. ولا تفترض أن زوج أنفاق مُدار يغيّر سلوك عميل ضيف عشوائي.
اختر الدور قبل المنتج
اكتب جملة واحدة تسمّي الاتجاه: هذه الآلة تنضم إلى شبكة، أو هذه الآلة تقبل عملاء، أو بوابة AWS تربط شبكات محددة.
تلك الجملة تحدد قائمة المنتجات المختصرة ومالك البرنامج وأنماط الفشل التي ستنقّحها. إذا كان المطلوب وصول مستخدمين بعيدين إلى تطبيق، فإن عميلًا مثبتًا داخل آلة التطبيق هو الشكل الخاطئ. وإذا كان المطلوب وصول آلة واحدة إلى شبكة شريك، فإن بوابة موقع-إلى-موقع مُدارة أكثر تعقيدًا مما تحتاجه المهمة. الإجابتان مشروعتان؛ وواحدة فقط تطابق الجملة التي كتبتها.