AWS Client VPN neu Site-to-Site: gwiriwch pwy sy'n agor y cysylltiad

Mae pedwar gwiriad yn penderfynu hyn, ac nid oes yr un ohonynt yn enw'r protocol. Pwy sy'n agor y cysylltiad, beth mae AWS yn ei ddilysu, sut mae'r cysylltiad yn cysylltu â'ch rhwydwaith, a pha lwybr a pholisi sy'n dod gydag ef. Atebwch y rhain yn eu trefn ac mae'r dewis o gynnyrch fel arfer yn gwneud ei hun; atebwch nhw ar ôl i chi fod wedi prynu dyluniad a byddwch yn amddiffyn twnnel sy'n datrys yr hanner anghywir o'r broblem. Nid oes yr un o'r pedwar yn gofyn i chi ddewis seiffr, a dyna pam mae dyluniad sy'n dechrau gyda phrotocol fel arfer yn arwydd na ysgrifennwyd y gofynion erioed.

Rhedwch bob gwiriad yn erbyn y pen draw, y cleient a'r teulu cyfeiriadau rydych chi'n bwriadu eu defnyddio, nid yn erbyn y categori. Mae cynnyrch VPN a reolir yn wahanol i'r blociau adeiladu OpenVPN ac IPsec y maent yn debyg iddynt.

Yn gyntaf, pwy sy'n agor y cysylltiad

Os mai gliniadur, ffôn neu orsaf waith un gweinyddwr yw'r peth sydd angen mynediad, mae'r cysylltiad yn dechrau ar ddyfais bell a'r dyluniad yw mynediad cleient o bell. Os mai cangen yn llawn peiriannau y tu ôl i un llwybrydd yw'r peth sydd angen mynediad, mae'r cysylltiad yn dechrau ar y llwybrydd hwnnw a'r dyluniad yw porth-i-borth. Dyma'r gwiriad sy'n setlo'r rhan fwyaf o achosion, a dyma'r un y mae pobl yn ei hepgor pan fydd cyflwyniad gwerthwr eisoes wedi fframio'r sgwrs o amgylch seiffrau.

Stopiwch yma os na allwch enwi'r gydran sy'n cychwyn. Mae dyluniad sy'n ceisio gwasanaethu'r ddau achos ag un twnnel fel arfer yn gorffen gyda sesiwn cleient sy'n esgus bod yn borth.

Yn ail, beth mae AWS yn ei ddilysu

Gyda Client VPN mae AWS yn dilysu'r identiti cleient neu ddefnyddiwr a gyflunwyd: tystysgrifau, cyfeiriadur neu identiti ffederal, yn dibynnu ar y gosodiad. Gyda Site-to-Site VPN mae AWS yn dilysu identiti cymar y porth. Nid yw'r gwahaniaeth hwnnw yn addurnol. Mae un model yn graddio trwy ychwanegu defnyddwyr a dirymu eu manylion mewngofnodi; mae'r llall yn graddio trwy ymddiried yn unrhyw beth sydd y tu ôl i un porth.

Nid yw dilysu'r porth yn dilysu pob cyflogai na chymhwysiad y tu ôl iddo, felly cadwch identitïau cymhwysiad a mynediad ar lefel adnodd yn eu lle hyd yn oed pan fo'r twnnel ei hun yn cael ei ymddiried. Ni ddylai cangen y mae gan ei llwybrydd identiti cymar dilys gael ei darllen yn awtomatig fel bod pob desg yn yr adeilad hwnnw wedi'i awdurdodi.

Yn drydydd, sut mae'r cysylltiad yn cysylltu

Mae Client VPN yn cysylltu trwy gymdeithasau is-rwydwaith VPC neu atodiad Transit Gateway uniongyrchol a gefnogir. Mae Site-to-Site VPN yn cysylltu â tharged AWS VPN, yn aml porth preifat rhithwir neu Transit Gateway. Mae canllaw pensaernïaeth Client VPN yn dogfennu'r opsiwn Transit Gateway, ac nid yw ei fodolaeth yn troi sesiwn gliniadur yn borth cangen nac yn dileu'r dilysu a'r awdurdodi cleient a ddisgrifiwyd uchod.

Gwiriwch yr atodiad y mae eich cyfrif a'ch rhanbarth yn ei gefnogi mewn gwirionedd cyn dylunio llwybrau o'i amgylch, yna gwiriwch pwy sy'n berchen ar yr atodiad hwnnw. Nid yw opsiwn sy'n bodoli yn y dogfennau ond sy'n eistedd ar rwydwaith na allwch ei gyflunio yn opsiwn.

Yn bedwerydd, pa lwybr a pholisi sy'n dod gydag ef

Mae Client VPN yn dod â rheolaeth cysylltiadau cleient a rheolau awdurdodi ar gyfer y rhwydweithiau cyrchfan a ganiateir gennych. Mae angen llwybr pen draw arfaethedig o hyd ar ddefnyddiwr cysylltiedig, rheol awdurdodi sy'n ei chaniatáu, a pha fynediad bynnag y mae'r adnodd ei hun yn ei olygu. Mae Site-to-Site VPN yn llwybro rhwng rhwydweithiau a gynrychiolir gan borth cwsmer, gan ddefnyddio llwybrau statig a gefnogir neu BGP yn dibynnu ar y dyluniad, felly nid oes angen mewngofnod cleient ar bob peiriant unigol y tu ôl i lwybrydd y gangen.

Peidiwch â chymryd ymddygiad heb ei gefnogi o'r categori i'r naill gyfeiriad na'r llall. Nid yw VPN mynediad o bell yn hollol analluog i gario traffig dychwelyd nac i gefnogi trefniadau porth, ac nid yw IPsec yn cael ei rwystro'n awtomatig gan NAT — mae AWS yn dogfennu trawslun NAT a gofynion porth cwsmer, a'r cyfluniad porth a gefnogir yw'r gwir gyfyngiad. Gwiriwch y cyfyngiadau ar gyfer eich pen draw cyn i chi fynnu cysylltiadau a gychwynnir tuag at gleientiaid neu anfon LAN y tu ôl i un sesiwn ymlaen. Mae'r un rhybudd yn berthnasol i deuluoedd cyfeiriadau: nid yw pen draw sy'n gweithio dros IPv4 yn awgrymu llwybr IPv6, felly cadarnhewch y teulu y bydd eich cleient neu borth yn ei drafod mewn gwirionedd.

Mae Site-to-Site VPN yn rhoi dau dwnnel i chi fesul cysylltiad, ac mae'r ailadrodd hwnnw'n dasg ddylunio yn hytrach na nodwedd y gellir ei chymryd yn ganiataol. Rhaid cynllunio gweithrediad porth cwsmer, methiant llwybrau a chwmpas profion i gyd; nid yw cymharu un sesiwn gliniadur â gweinydd VPN haniaethol yn profi unrhyw beth am y naill na'r llall.

Lle mae'r ddau ddyluniad yn cwrdd

Nid yw'r gwasanaethau'n gydanghynhwysol, ac mae'r siâp cynhyrchu cyffredin yn defnyddio'r ddau: cyflogeion ar Client VPN, rhwydweithiau cangen ar Site-to-Site, gyda llwybrau penodol a pholisi mynediad rhwng y cyrchfannau sy'n gorfod siarad. Mae'r tabl yn grynodeb o'r pedwar gwiriad, nid yn ddewis arall yn lle eu rhoi ar waith.

Un peth nad yw'r naill gynnyrch na'r llall yn ei ddisodli: TLS i gymhwysiad y mae ei ofyniad amgryptio yn ymestyn y tu hwnt i ben draw'r VPN. Os yw eich cwmpas cydymffurfio'n gorffen wrth y cymhwysiad, y twnnel yw'r cludiad a'r dystysgrif yw'r rheolaeth o hyd.

Ysgrifennwch y pedwar ateb cyn yr adolygiad dylunio, un llinell yr un. Pan fo dau ohonynt yn anghytuno — dyweder, dyluniad cleient wedi'i ddilysu gan ddefnyddiwr gyda gofyniad llwybro maint cangen — y gwrthdaro hwnnw yw'r darganfyddiad, ac mae'n rhatach ei weld nawr nag yn ystod y toriad.