AWS Client VPN yoxsa Site-to-Site: bağlantını kimin açdığını yoxlayın

Bunu dörd yoxlama həll edir və heç biri protokolun adı deyil. Bağlantını kim açır, AWS nəyi doğrular, bağlantı şəbəkənizə necə qoşulur və onunla hansı marşrutlaşdırma və siyasət gəlir. Bunlara ardıcıllıqla cavab verin və məhsul seçimi adətən öz-özünə ortaya çıxır; dizaynı artıq satın aldıqdan sonra cavab verin və problemin səhv yarısını həll edən tuneli müdafiə etməyə başlayacaqsınız. Dörd yoxlamanın heç biri sizdən şifrə seçməyi tələb etmir, buna görə də protokoldan başlayan dizayn adətən tələblərin heç vaxt yazılmadığının əlamətidir.

Hər yoxlamanı istifadə etməyi planlaşdırdığınız faktiki son nöqtə, müştəri və ünvan ailəsinə görə aparın, kateqoriyaya görə deyil. İdarə olunan VPN məhsulları oxşadıqları OpenVPN və IPsec tikinti bloklarından fərqlənir.

Birinci, bağlantını kim açır

Əgər girişə ehtiyacı olan şey noutbuk, telefon və ya bir administratorun iş stansiyasıdırsa, bağlantı uzaq cihazdan başlayır və dizayn uzaq müştəri girişidir. Əgər girişə ehtiyacı olan şey bir marşrutlaşdırıcının arxasındakı maşınlarla dolu filialdırsa, bağlantı həmin marşrutlaşdırıcıdan başlayır və dizayn şlüz-şlüzədir. Bu, əksər halları həll edən yoxlamadır və satıcının təqdimatı söhbəti artıq şifrələr ətrafında qurduqda insanların atladığı yoxlama da elə budur.

Başladan komponenti adlandıra bilmirsinizsə, burada dayanın. Hər iki halı bir tunel ilə qarşılamağa çalışan dizayn adətən özünü şlüz kimi təqdim edən müştəri sessiyası ilə bitir.

İkinci, AWS nəyi doğrular

Client VPN ilə AWS konfiqurasiya edilmiş müştəri və ya istifadəçi kimliyini doğrular: sertifikatlar, kataloq və ya federativ kimlik, quraşdırmadan asılı olaraq. Site-to-Site VPN ilə AWS şlüz həmsöhbətinin kimliyini doğrular. Bu fərq kosmetik deyil. Bir model istifadəçilər əlavə edib onların etibarnamələrini ləğv etməklə genişlənir; digəri tək bir şlüzün arxasında duran hər şeyə güvənməklə genişlənir.

Şlüz doğrulaması onun arxasındakı hər işçini və ya tətbiqi doğrulamır, ona görə də tunelin özü etibarlı olsa belə, tətbiq kimliklərini və resurs səviyyəsində girişi yerində saxlayın. Marşrutlaşdırıcısı etibarlı həmsöhbət kimliyi daşıyan filial avtomatik olaraq o binadakı hər masanın səlahiyyətli olduğu kimi oxunmamalıdır.

Üçüncü, bağlantı necə qoşulur

Client VPN VPC alt şəbəkə assosiasiyaları və ya dəstəklənən birbaşa Transit Gateway qoşulması vasitəsilə qoşulur. Site-to-Site VPN AWS VPN hədəfinə, adətən virtual özəl şlüzə və ya Transit Gateway-ə qoşulur. Client VPN arxitektura bələdçisi Transit Gateway seçimini sənədləşdirir və onun mövcudluğu noutbuk sessiyasını filial şlüzünə çevirmir və yuxarıda təsvir edilən müştəri doğrulamasını və səlahiyyətləndirməsini aradan qaldırmır.

Marşrutları onun ətrafında dizayn etməzdən əvvəl hesabınızın və regionunuzun həqiqətən dəstəklədiyi qoşulmanı yoxlayın, sonra həmin qoşulmanın kimə aid olduğunu yoxlayın. Sənədlərdə mövcud olan, lakin konfiqurasiya edə bilmədiyiniz şəbəkədə yerləşən seçim seçim deyil.

Dördüncü, onunla hansı marşrutlaşdırma və siyasət gəlir

Client VPN icazə verdiyiniz təyinat şəbəkələri üçün müştəri bağlantısı idarəetməsi və səlahiyyətləndirmə qaydaları gətirir. Qoşulmuş istifadəçi hələ də nəzərdə tutulan son nöqtə marşrutuna, ona icazə verən səlahiyyətləndirmə qaydasına və resursun özünün tələb etdiyi girişə ehtiyac duyur. Site-to-Site VPN müştəri şlüzü ilə təmsil olunan şəbəkələr arasında, dizayndan asılı olaraq dəstəklənən statik marşrutlar və ya BGP ilə marşrutlaşdırır, buna görə filial marşrutlaşdırıcısının arxasındakı ayrı-ayrı maşınların hər biri müştəri girişinə ehtiyac duymur.

Kateqoriyadan hər iki istiqamətdə dəstəklənməyən davranış çıxarmayın. Uzaq giriş VPN-ləri qayıdış trafikini daşımaq və ya şlüz quruluşlarını dəstəkləmək qabiliyyətindən ümumiyyətlə məhrum deyil və IPsec NAT tərəfindən avtomatik bloklanmır — AWS NAT traversal və müştəri şlüzü tələblərini sənədləşdirir və real məhdudiyyət dəstəklənən şlüz konfiqurasiyasıdır. Müştərilərə doğru başlayan bağlantıları tələb etməzdən və ya bir sessiya arxasındakı LAN-ı ötürməzdən əvvəl son nöqtəniz üçün məhdudiyyətləri yoxlayın. Eyni ehtiyat ünvan ailələrinə də aiddir: IPv4 üzərində işləyən son nöqtə IPv6 yolu demək deyil, ona görə müştərinizin və ya şlüzünüzün həqiqətən razılaşacağı ailəni təsdiqləyin.

Site-to-Site VPN hər bağlantı üçün sizə iki tunel verir və bu ehtiyatlılıq güman edə biləcəyiniz funksiya deyil, dizayn tapşırığıdır. Müştəri şlüzünün işləməsi, marşrutun ehtiyat keçidi və test əhatəsi hamısı planlaşdırılmalıdır; bir noutbuk sessiyasını mücərrəd VPN serveri ilə müqayisə etmək heç biri haqqında heç nə sübut etmir.

İki dizaynın kəsişdiyi yer

Xidmətlər bir-birini istisna etmir və adi istehsal forması hər ikisini istifadə edir: işçilər Client VPN-də, filial şəbəkələri Site-to-Site-da, danışmalı olan təyinatlar arasında açıq marşrutlar və giriş siyasəti ilə. Cədvəl dörd yoxlamanın xülasəsidir, onların yerinə yetirilməsinin əvəzi deyil.

Heç bir məhsulun əvəz etmədiyi bir şey: şifrələmə tələbi VPN son nöqtəsindən kənara çıxan tətbiqə TLS. Əgər uyğunluq əhatəniz tətbiqdə bitirsə, tunel nəqliyyatdır və sertifikat hələ də nəzarətdir.

Dizayn icmalından əvvəl dörd cavabı yazın, hər biri bir sətir. İkisi ziddiyyət təşkil etdikdə — məsələn, filial ölçülü marşrutlaşdırma tələbi olan istifadəçi ilə doğrulanan müştəri dizaynı — bu ziddiyyət tapıntıdır və onu indi görmək keçid zamanı görməkdən ucuzdur.