EC2 Windows: client VPN, servidor VPN o passarel·la AWS?
Una instància EC2 de Windows pot executar programari VPN, però un client, un servidor autogestionat i una passarel·la AWS són rols diferents amb propietaris diferents.
Un equip necessita connectivitat VPN per a una aplicació que s'executa en una instància EC2 de Windows, troba programari client compatible, l'instal·la i després pregunta per què la resta de la VPC no el pot utilitzar. La instal·lació va funcionar; el rol mai no es va decidir. El programari que s'executa dins d'un hoste pot ser un client que s'uneix a la xarxa d'algú altre, un servidor que accepta altres clients o cap dels dos productes VPN gestionats per AWS, i cada rol us deixa una feina diferent.
El símptoma sol ser el rol equivocat
El símptoma habitual és un túnel que funciona i resol el problema equivocat. Un client dins de la VM dóna a aquesta VM un camí de sortida; no dóna al vostre portàtil, a la vostra oficina ni a una altra subxarxa una manera d'entrar. Un servidor dins de la VM dóna als altres una manera d'entrar, però ara vosaltres teniu l'oient, l'autenticació i el reenviament.
Els serveis gestionats traslladen l'operació del servei a AWS i us deixen el disseny. Site-to-Site VPN connecta xarxes mitjançant una passarel·la de client i una passarel·la AWS, i Client VPN dóna als dispositius remots un punt final gestionat. En tots dos casos les rutes, les regles d'autorització i la font d'identitat són la vostra configuració, i cap dels dos productes no instal·la un client de propòsit general dins d'un hoste Windows.
Hi ha quatre formes possibles, i la taula les separa segons què es connecta amb què i qui porta la càrrega operativa.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Llegiu la fila i no el nom del producte: la mateixa instància de Windows pot seure en dues files diferents segons quin programari s'hi executa.
Client dins de la VM: la VM s'uneix a una xarxa
Un client de sortida necessita que es revisin la compilació de Windows, l'arquitectura i els requisits de controladors abans que s'instal·li res. El client canviarà les rutes i el DNS de la instància, cosa que pot afectar serveis que ja s'hi executen, inclòs el camí que feu servir per a l'administració remota. Anoteu el nom de l'adaptador i la mètrica d'interfície que estableix el client, perquè la interfície nova pot tenir prioritat sobre l'existent. Si la instància es gestiona amb un gestor de sessions en lloc de SSH o RDP, confirmeu que aquest camí encara funciona després que el client es connecti.
Decidiu quin trànsit ha de portar el client abans d'activar-lo. Un túnel complet pot capturar la sessió de gestió i deixar-vos fora, i un túnel dividit pot deixar que la instància arribi a la xarxa privada mentre la resta del seu trànsit surt per una altra banda. Proveu-ho amb un segon camí de gestió disponible i anoteu les rutes que instal·la el client perquè un canvi posterior sigui explicable.
Servidor dins de la VM: altres clients s'hi uneixen
En un servidor autogestionat, vosaltres teniu l'oient, el certificat o el material de clau, la base de dades d'usuaris i les regles de reenviament. Si el servidor reenvia trànsit per a altres clients, la instància es converteix en un encaminador, i això requereix reenviament a nivell de hoste més canvis de rutes i de grups de seguretat a nivell d'AWS.
Proveu l'oient des del hoste i de nou des d'una altra subxarxa, i després proveu un amfitrió al qual la instància reenviï. Un servei local sa no demostra res sobre el camí reenviat, així que anoteu tots dos resultats a la nota de canvi.
Les passarel·les gestionades conserven el servei, no el vostre disseny d'accés
AWS Site-to-Site VPN documenta els rols de túnel de la passarel·la de client i de la passarel·la AWS, i comprar aquesta connexió no substitueix tots els dissenys d'accés remot. Client VPN documenta un punt final gestionat amb persones de client, mentre que les regles d'autorització i les rutes de destí continuen sent vostres. AWS manté el punt final i els seus certificats en funcionament; qui pot arribar a quina aplicació continua sent una regla d'autorització que escriviu i manteniu.
Trieu entre els productes en cinc eixos: quin rol fa cadascun, quins protocols accepta, quina font d'identitat espera, com es reenvia el trànsit i com es lliura la disponibilitat. Ignoreu qualsevol xifra única de rendiment citada en un fil de fòrum, perquè la capacitat publicada es mou amb el servei. I no assumiu que una parella de túnels gestionats canvia el comportament d'un client hoste arbitrari.
Trieu el rol abans del producte
Escriviu una frase que anomeni la direcció: aquesta VM s'uneix a una xarxa, aquesta VM accepta clients o una passarel·la AWS connecta xarxes definides.
Aquesta frase decideix la llista curta de productes, el propietari del programari i les maneres de fallada que depurareu. Si el requisit és que usuaris remots arribin a una aplicació, un client instal·lat a la VM de l'aplicació és la forma equivocada. Si el requisit és que una VM arribi a una xarxa associada, una passarel·la gestionada de lloc a lloc és més maquinària del que la tasca necessita. Totes dues respostes són legítimes; només una coincideix amb la frase que heu escrit.