AWS Client VPN ili Site-to-Site: provjerite ko uspostavlja vezu
Client VPN autentificira uređaj ili korisnika; Site-to-Site spaja gateway na AWS. Četiri provjere određuju šta vaš laptop ili podružnica zaista trebaju.
Ovo odlučuju četiri provjere i nijedna od njih nije naziv protokola. Ko otvara vezu, šta AWS autentificira, kako se veza priključuje na vašu mrežu i koje rutiranje i pravila dolaze s njom. Odgovorite na to redom i izbor proizvoda obično se sam nametne; odgovorite nakon što ste već kupili dizajn i branit ćete tunel koji rješava pogrešnu polovinu problema. Nijedna od četiri ne traži da odaberete šifru, zato je dizajn koji počinje protokolom obično znak da zahtjevi nikada nisu zapisani.
Svaku provjeru izvedite prema stvarnom endpointu, klijentu i porodici adresa koje namjeravate koristiti, a ne prema kategoriji. Upravljani VPN proizvodi razlikuju se od OpenVPN i IPsec gradivnih blokova na koje liče.
Prvo, ko otvara vezu
Ako je ono čemu treba pristup laptop, telefon ili radna stanica jednog administratora, veza počinje na udaljenom uređaju i dizajn je udaljeni klijentski pristup. Ako je ono čemu treba pristup podružnica puna mašina iza jednog rutera, veza počinje na tom ruteru i dizajn je gateway-prema-gatewayu. To je provjera koja rješava većinu slučajeva i upravo je ljudi preskaču kada je prezentacija dobavljača već uokvirila razgovor oko šifri.
Zaustavite se ovdje ako ne možete imenovati komponentu koja inicira. Dizajn koji pokušava poslužiti oba slučaja jednim tunelom obično završi klijentskom sesijom koja se pretvara da je gateway.
Drugo, šta AWS autentificira
S Client VPN-om AWS autentificira konfigurirani klijentski ili korisnički identitet: certifikate, direktorij ili federirani identitet, zavisno od postavki. S Site-to-Site VPN-om AWS autentificira identitet gateway partnera. Ta razlika nije kozmetička. Jedan model skalira dodavanjem korisnika i ukidanjem njihovih vjerodajnica; drugi skalira vjerovanjem u sve što stoji iza jednog gatewaya.
Autentifikacija gatewaya ne autentificira svakog zaposlenika ni aplikaciju iza njega, zato zadržite identitete aplikacija i pristup na razini resursa čak i kad je sam tunel pouzdan. Podružnica čiji ruter ima valjan identitet partnera ne smije se automatski čitati kao da je svaki stol u toj zgradi ovlašten.
Treće, kako se veza priključuje
Client VPN priključuje se kroz asocijacije podmreža u VPC-u ili podržani izravni priključak na Transit Gateway. Site-to-Site VPN priključuje se na cilj AWS VPN-a, najčešće virtualni privatni gateway ili Transit Gateway. Vodič kroz arhitekturu Client VPN-a dokumentira opciju Transit Gateway i njeno postojanje ne pretvara sesiju laptopa u podružnički gateway niti uklanja gore opisane autentifikaciju i autorizaciju klijenta.
Provjerite priključak koji vaš račun i regija stvarno podržavaju prije nego što oko njega projektirate rute, pa provjerite kome taj priključak pripada. Opcija koja postoji u dokumentaciji ali se nalazi na mreži koju ne možete konfigurirati nije opcija.
Četvrto, koje rutiranje i pravila dolaze s njom
Client VPN donosi upravljanje klijentskim vezama i pravila autorizacije za odredišne mreže koje dopuštate. Povezani korisnik i dalje treba predviđenu rutu do endpointa, pravilo autorizacije koje je dopušta i onaj pristup koji sam resurs zahtijeva. Site-to-Site VPN rutira između mreža predstavljenih korisničkim gatewayem, koristeći podržane statičke rute ili BGP zavisno od dizajna, pa pojedinačne mašine iza podružničkog rutera ne trebaju svaka svoju klijentsku prijavu.
Ne izvlačite nepodržano ponašanje iz kategorije ni u jednom smjeru. VPN-ovi za udaljeni pristup nisu univerzalno nesposobni prenositi povratni promet ni podržavati gateway rasporede, a IPsec nije automatski blokiran NAT-om — AWS dokumentira NAT traversal i zahtjeve za korisnički gateway, a stvarno ograničenje je podržana konfiguracija gatewaya. Provjerite ograničenja za svoj endpoint prije nego što zahtijevate veze inicirane prema klijentima ili prosljeđujete LAN iza jedne sesije. Isto vrijedi i za porodice adresa: endpoint koji radi preko IPv4 ne podrazumijeva IPv6 put, zato potvrdite porodicu koju će vaš klijent ili gateway zaista pregovarati.
Site-to-Site VPN daje vam dva tunela po vezi i ta redundancija je projektni zadatak, a ne funkcija koju možete pretpostaviti. Rad korisničkog gatewaya, prebacivanje ruta i pokrivenost testovima sve se mora planirati; usporedba jedne sesije laptopa s apstraktnim VPN poslužiteljem ne dokazuje ništa ni o jednom od njih.
Gdje se dva dizajna susreću
Usluge se ne isključuju i uobičajen proizvodni oblik koristi obje: zaposlenici na Client VPN-u, podružničke mreže na Site-to-Site, s izričitim rutama i pravilima pristupa između odredišta koja moraju razgovarati. Tablica je sažetak četiriju provjera, a ne zamjena za njihovo provođenje.
| Question | AWS Client VPN | AWS Site-to-Site VPN |
|---|---|---|
| Who establishes it? | A client on a remote device | A customer gateway device or appliance |
| What is authenticated? | The client or user identity | The gateway peer identity |
| How does it attach? | VPC subnet association or Transit Gateway | Virtual private gateway or Transit Gateway |
| What carries the path? | An OpenVPN-based client tunnel | IPsec tunnels to AWS endpoints |
Jedno što nijedan od dva proizvoda ne zamjenjuje: TLS prema aplikaciji čiji zahtjev za enkripcijom seže dalje od VPN endpointa. Ako vaš opseg usklađenosti završava na aplikaciji, tunel je transport a certifikat je i dalje kontrola.
Zapišite četiri odgovora prije pregleda dizajna, po jedan redak svaki. Kada se dva od njih ne slažu — recimo, klijentski dizajn s autentifikacijom korisnika i zahtjev za rutiranjem veličine podružnice — to neslaganje je nalaz, i jeftinije ga je vidjeti sada nego tijekom prelaska.