EC2 Windows: VPN klient, VPN server, nebo brána AWS?
Instance EC2 s Windows může provozovat VPN software, ale klient, samostatně spravovaný server a brána AWS jsou různé role s různými vlastníky.
Tým potřebuje VPN připojení pro aplikaci běžící na instanci EC2 s Windows, najde kompatibilní klientský software, nainstaluje jej a pak se ptá, proč jej zbytek VPC nemůže používat. Instalace proběhla; role nebyla nikdy rozhodnuta. Software běžící uvnitř hosta může být klient, který se připojuje k cizí síti, server, který přijímá další klienty, nebo žádný z produktů VPN spravovaných AWS, a každá role vám nechává jinou práci.
Příznakem je obvykle špatná role
Běžným příznakem je funkční tunel, který řeší špatný problém. Klient ve VM dává této VM odchozí cestu; nedává vašemu notebooku, kanceláři ani jiné podsíti cestu dovnitř. Server ve VM dává ostatním cestu dovnitř, ale nyní vlastníte posluchač, autentizaci a přeposílání.
Spravované služby přesouvají provoz služby do AWS a návrh nechávají vám. Site-to-Site VPN propojuje sítě přes zákaznickou bránu a bránu AWS a Client VPN dává vzdáleným zařízením spravovaný koncový bod. V obou případech jsou trasy, autorizační pravidla a zdroj identity vaše konfigurace a ani jeden produkt neinstaluje klienta pro obecné použití uvnitř hosta Windows.
Jsou možné čtyři podoby a tabulka je odděluje podle toho, co se s čím spojuje a kdo nese provozní zátěž.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Čtěte řádek, ne název produktu: stejná instance Windows může sedět ve dvou různých řádcích podle toho, který software v ní běží.
Klient uvnitř VM: VM se připojuje k síti
Odchozí klient potřebuje před instalací čehokoli zkontrolovat sestavení Windows, architekturu a požadavky na ovladače. Klient změní trasy a DNS na instanci, což může ovlivnit služby, které tam již běží, včetně cesty, kterou používáte pro vzdálenou správu. Zaznamenejte název adaptéru a metriku rozhraní, kterou klient nastaví, protože nové rozhraní může získat přednost před stávajícím. Pokud je instance spravována správcem relací místo SSH nebo RDP, potvrďte, že tato cesta po připojení klienta stále funguje.
Rozhodněte, který provoz má klient přenášet, než jej zapnete. Plný tunel může zachytit správcovskou relaci a uzamknout vás venku a rozdělený tunel může nechat instanci dosáhnout privátní sítě, zatímco její ostatní provoz jde jiným východem. Testujte s dostupnou druhou správcovskou cestou a zaznamenejte trasy, které klient nainstaluje, aby pozdější změna byla vysvětlitelná.
Server uvnitř VM: připojují se k němu další klienti
U samostatně spravovaného serveru vlastníte posluchač, certifikát nebo klíčový materiál, databázi uživatelů a pravidla přeposílání. Pokud server přeposílá provoz pro další klienty, instance se stane routerem, a to vyžaduje přeposílání na úrovni hosta plus změny tras a bezpečnostních skupin na úrovni AWS.
Otestujte posluchač z hosta a znovu z jiné podsítě, poté otestujte hostitele, pro který instance přeposílá. Zdravá místní služba nic nedokazuje o přeposílané cestě, takže oba výsledky zaznamenejte do poznámky o změně.
Spravované brány zachovávají službu, ne váš návrh přístupu
AWS Site-to-Site VPN dokumentuje role tunelů zákaznické brány a brány AWS a koupě tohoto připojení nenahrazuje každý návrh vzdáleného přístupu. Client VPN dokumentuje spravovaný koncový bod s klientskými personami, zatímco autorizační pravidla a cílové trasy zůstávají vaše. AWS udržuje koncový bod a jeho certifikáty v provozu; kdo smí dosáhnout které aplikace, je stále autorizační pravidlo, které píšete a udržujete.
Vyberte mezi produkty podle pěti os: jakou roli každý hraje, které protokoly přijímá, jaký zdroj identity očekává, jak se provoz přeposílá a jak se dodává dostupnost. Ignorujte jakýkoli jednotlivý údaj o propustnosti citovaný ve vlákně fóra, protože zveřejněná kapacita se mění se službou. A nepředpokládejte, že spravovaná dvojice tunelů mění chování libovolného hostujícího klienta.
Vyberte roli před produktem
Napište jednu větu, která pojmenuje směr: tato VM se připojuje k síti, tato VM přijímá klienty nebo brána AWS propojuje definované sítě.
Tato věta určuje užší seznam produktů, vlastníka softwaru a způsoby selhání, které budete ladit. Pokud je požadavkem, aby vzdálení uživatelé dosáhli aplikace, klient nainstalovaný ve VM aplikace je špatná podoba. Pokud je požadavkem, aby jedna VM dosáhla partnerské sítě, spravovaná brána site-to-site je více strojů, než úkol potřebuje. Obě odpovědi jsou legitimní; jen jedna odpovídá větě, kterou jste napsali.