EC2 Windows: VPN-кліент, VPN-сервер ці шлюз AWS?
Экземпляр Windows EC2 можа выконваць праграмнае забеспячэнне VPN, але кліент, самастойна кіраваны сервер і шлюз AWS — гэта розныя ролі з рознымі ўласнікамі.
Камандзе патрэбна VPN-злучэнне для праграмы, якая працуе на экземпляры Windows EC2: яна знаходзіць сумяшчальнае кліенцкае ПЗ, усталёўвае яго і потым пытаецца, чаму астатняя частка VPC не можа ім карыстацца. Усталяванне ўдалося; роля так і не была вызначана. ПЗ, якое працуе ўнутры гасцявой сістэмы, можа быць кліентам, што далучаецца да чужой сеткі, серверам, які прымае іншых кліентаў, або не адносіцца да кіраваных AWS прадуктаў VPN, і кожная роля пакідае вам розную працу.
Сімптом звычайна азначае няправільную ролю
Тыповы сімптом — працоўны тунель, які вырашае не тую задачу. Кліент у ВМ дае гэтай ВМ зыходны шлях; ён не дае вашаму ноўтбуку, офісу ці іншай падсетцы шляху ўнутр. Сервер у ВМ дае іншым шлях унутр, але цяпер вы ўладальнік слухача, аўтэнтыфікацыі і перасылкі.
Кіраваныя сэрвісы пераносяць эксплуатацыю сэрвісу ў AWS і пакідаюць праектаванне вам. Site-to-Site VPN злучае сеткі праз шлюз заказчыка і шлюз AWS, а Client VPN дае аддаленым прыладам кіраваную канцавую кропку. У абодвух выпадках маршруты, правілы аўтарызацыі і крыніца ідэнтычнасці — гэта ваша канфігурацыя, і ні адзін з прадуктаў не ўсталёўвае кліент агульнага прызначэння ўнутры гасцявой Windows.
Магчымыя чатыры формы, і табліца раздзяляе іх па тым, што з чым злучаецца і хто нясе эксплуатацыйную нагрузку.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Чытайце радок, а не назву прадукту: адзін і той жа экземпляр Windows можа знаходзіцца ў двух розных радках у залежнасці ад таго, якое ПЗ у ім працуе.
Кліент унутры ВМ: ВМ далучаецца да сеткі
Зыходнаму кліенту трэба праверыць зборку Windows, архітэктуру і патрабаванні да драйвераў, перш чым нешта ўсталёўваць. Кліент зменіць маршруты і DNS на экземпляры, што можа паўплываць на сэрвісы, якія ўжо там працуюць, у тым ліку на шлях, які вы выкарыстоўваеце для аддаленага адміністравання. Запішыце назву адаптара і метрыку інтэрфейсу, якую задае кліент, бо новы інтэрфейс можа атрымаць перавагу над існуючым. Калі экземпляр кіруецца праз менеджар сеансаў, а не праз SSH ці RDP, пацвердзіце, што гэты шлях працуе і пасля падключэння кліента.
Вызначце, які трафік павінен несці кліент, перш чым уключаць яго. Поўны тунель можа перахапіць сеанс кіравання і замкнуць вас знутры, а раздзелены тунель можа пакінуць экземпляр з выхадам у прыватную сетку, тады як іншы трафік пойдзе іншым шляхам. Тэстуйце, маючы другі шлях кіравання, і запісвайце маршруты, якія ўсталёўвае кліент, каб пазнейшае змяненне можна было растлумачыць.
Сервер унутры ВМ: іншыя кліенты далучаюцца да яго
Для самастойна кіраванага сервера вы ўладальнік слухача, сертыфіката або ключавога матэрыялу, базы карыстальнікаў і правілаў перасылкі. Калі сервер перасылае трафік для іншых кліентаў, экземпляр становіцца маршрутызатарам, а гэта патрабуе перасылкі на ўзроўні гасцявой сістэмы плюс змен маршрутаў і груп бяспекі на ўзроўні AWS.
Праверце слухач з гасцявой сістэмы, потым з іншай падсеткі, а затым праверце хост, для якога экземпляр перасылае трафік. Здаровы лакальны сэрвіс нічога не даказвае пра перасылаемы шлях, таму запішыце абодва вынікі ў нататку пра змены.
Кіраваныя шлюзы захоўваюць сэрвіс, а не вашу схему доступу
AWS Site-to-Site VPN дакументуе ролі тунеляў шлюзу заказчыка і шлюзу AWS, і купля гэтага злучэння не заменіць кожную схему аддаленага доступу. Client VPN дакументуе кіраваную канцавую кропку з персонамі кліентаў, а правілы аўтарызацыі і мэтавыя маршруты застаюцца вашымі. AWS падтрымлівае працу канцавой кропкі і яе сертыфікатаў; тое, хто можа дасягнуць якой праграмы, па-ранейшаму правіла аўтарызацыі, якое вы пішаце і падтрымліваеце.
Выбірайце прадукты па пяці восях: якую ролю кожны выконвае, якія пратаколы прымае, якой крыніцы ідэнтычнасці чакае, як перасылаецца трафік і як забяспечваецца даступнасць. Ігнаруйце любую адзіную лічбу прапускной здольнасці з форуму, бо апублікаваная ёмістасць змяняецца разам з сэрвісам. І не мяркуйце, што кіраваная пара тунеляў змяняе паводзіны адвольнага гасцявога кліента.
Спачатку роля, потым прадукт
Напішыце адно сказ, які называе напрамак: гэтая ВМ далучаецца да сеткі, гэтая ВМ прымае кліентаў, або шлюз AWS злучае вызначаныя сеткі.
Гэты сказ вызначае кароткі спіс прадуктаў, уласніка ПЗ і тыпы адмоваў, якія вы будзеце адладжваць. Калі патрабаванне — каб аддаленыя карыстальнікі дасягалі праграмы, кліент, усталяваны ў ВМ праграмы, — няправільная форма. Калі патрабаванне — каб адна ВМ дасягала сеткі партнёра, кіраваны шлюз сайт-сайт — гэта больш механізмаў, чым трэба задачы. Абодва адказы слушныя; толькі адзін з іх адпавядае сказу, які вы напісалі.