EC2 Windows: VPN клиент, VPN сървър или AWS шлюз?
Инстанция EC2 с Windows може да изпълнява VPN софтуер, но клиентът, самостоятелно управленият сървър и AWS шлюзът са различни роли с различни собственици.
Екип се нуждае от VPN свързаност за приложение, което работи на инстанция EC2 с Windows, намира съвместим клиентски софтуер, инсталира го и след това пита защо останалата част от VPC не може да го използва. Инсталацията е успяла; ролята така и не е решена. Софтуерът, който работи вътре в гост система, може да бъде клиент, който се присъединява към чужда мрежа, сървър, който приема други клиенти, или нито един от VPN продуктите, управлявани от AWS, и всяка роля оставя различна работа за вас.
Симптомът обикновено е грешната роля
Обичайният симптом е работещ тунел, който решава грешния проблем. Клиент във виртуалната машина дава на нея изходящ път; той не дава на вашия лаптоп, офис или друга подмрежа път навътре. Сървър във виртуалната машина дава на другите път навътре, но сега вие притежавате слушателя, удостоверяването и препращането.
Управляваните услуги преместват експлоатацията на услугата в AWS и оставят проектирането при вас. Site-to-Site VPN свързва мрежи през клиентски шлюз и AWS шлюз, а Client VPN дава на отдалечени устройства управлявана крайна точка. И в двата случая маршрутите, правилата за оторизация и източникът на идентичност са ваша конфигурация и нито един от продуктите не инсталира клиент с общо предназначение вътре в Windows гост.
Възможни са четири форми и таблицата ги разделя по това какво с какво се свързва и кой носи оперативната тежест.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Четете реда, а не името на продукта: една и съща инстанция Windows може да бъде в два различни реда в зависимост от софтуера, който работи в нея.
Клиент във виртуалната машина: машината се присъединява към мрежа
Изходящият клиент трябва да провери изданието на Windows, архитектурата и изискванията към драйверите, преди да се инсталира нещо. Клиентът ще промени маршрутите и DNS на инстанцията, което може да засегне вече работещи там услуги, включително пътя, който използвате за отдалечено администриране. Запишете името на адаптера и метриката на интерфейса, която клиентът задава, защото новият интерфейс може да получи предимство пред съществуващия. Ако инстанцията се управлява чрез мениджър на сесии, а не чрез SSH или RDP, потвърдете, че този път все още работи след свързването на клиента.
Решете какъв трафик да носи клиентът, преди да го включите. Пълният тунел може да прихване административната сесия и да ви заключи навън, а разделеният тунел може да остави инстанцията да достига частната мрежа, докато другият ѝ трафик излиза по друг път. Тествайте с наличен втори административен път и записвайте маршрутите, които клиентът инсталира, за да може по-късна промяна да бъде обяснена.
Сървър във виртуалната машина: други клиенти се присъединяват към него
При самостоятелно управляван сървър вие притежавате слушателя, сертификата или ключовия материал, базата с потребители и правилата за препращане. Ако сървърът препраща трафик за други клиенти, инстанцията става рутер и това изисква препращане на ниво гост плюс промени в маршрутите и групите за сигурност на ниво AWS.
Проверете слушателя от госта и отново от друга подмрежа, след което проверете хост, за който инстанцията препраща. Здрава локална услуга не доказва нищо за препращания път, затова запишете двата резултата в бележката за промяната.
Управляваните шлюзове запазват услугата, не вашия дизайн за достъп
AWS Site-to-Site VPN документира ролите на тунелите на клиентския шлюз и AWS шлюза и закупуването на тази връзка не заменя всеки дизайн за отдалечен достъп. Client VPN документира управлявана крайна точка с клиентски персони, докато правилата за оторизация и целевите маршрути остават ваши. AWS поддържа крайната точка и сертификатите ѝ работещи; кой може да достигне кое приложение все още е правило за оторизация, което вие пишете и поддържате.
Изберете между продуктите по пет оси: каква роля играе всеки, какви протоколи приема, какъв източник на идентичност очаква, как се препраща трафикът и как се осигурява наличността. Пренебрегнете всяка отделна цифра за пропускателна способност, цитирана във форум, защото публикуваният капацитет се променя с услугата. И не предполагайте, че управлявана двойка тунели променя поведението на произволен гост клиент.
Изберете ролята преди продукта
Напишете едно изречение, което назовава посоката: тази машина се присъединява към мрежа, тази машина приема клиенти или AWS шлюз свързва определени мрежи.
Това изречение определя краткия списък с продукти, собственика на софтуера и режимите на отказ, които ще отстранявате. Ако изискването е отдалечени потребители да достигат приложение, клиент, инсталиран във виртуалната машина на приложението, е грешната форма. Ако изискването е една машина да достига партньорска мрежа, управляван шлюз сайт-към-сайт е повече механизми, отколкото задачата изисква. И двата отговора са законни; само един от тях съвпада с изречението, което написахте.