EC2 Windows: VPN-klient, VPN-server eller AWS-gateway?
En Windows EC2-instans kan køre VPN-software, men en klient, en selvadministreret server og en AWS-gateway er forskellige roller med forskellige ejere.
Et team har brug for VPN-forbindelse til en app, der kører på en Windows EC2-instans, finder kompatibel klientsoftware, installerer den og spørger derefter, hvorfor resten af VPC'en ikke kan bruge den. Installationen virkede; rollen blev aldrig besluttet. Software, der kører inde i en gæst, kan være en klient, der slutter sig til en andens netværk, en server, der accepterer andre klienter, eller ingen af de AWS-administrerede VPN-produkter, og hver rolle efterlader forskelligt arbejde hos dig.
Symptomet er som regel den forkerte rolle
Det typiske symptom er en fungerende tunnel, der løser det forkerte problem. En klient i VM'en giver den VM en udgående vej; den giver ikke din bærbare computer, dit kontor eller et andet undernet en vej ind. En server i VM'en giver andre en vej ind, men nu ejer du lytteren, godkendelsen og videresendelsen.
Administrerede tjenester flytter tjenestens drift til AWS og efterlader designet hos dig. Site-to-Site VPN forbinder netværk gennem en kundegateway og en AWS-gateway, og Client VPN giver fjerneneheder et administreret slutpunkt. I begge tilfælde er ruterne, autorisationsreglerne og identitetskilden din konfiguration, og ingen af produkterne installerer en generel klient inde i en Windows-gæst.
Fire former er mulige, og tabellen adskiller dem efter, hvad der forbindes med hvad, og hvem der bærer driftsbyrden.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Læs rækken frem for produktnavnet: den samme Windows-instans kan stå i to forskellige rækker afhængigt af, hvilken software der kører i den.
Klient inde i VM'en: VM'en slutter sig til et netværk
En udgående klient skal have tjekket Windows-build, arkitektur og driverkrav, før noget installeres. Klienten ændrer ruter og DNS på instansen, hvilket kan påvirke tjenester, der allerede kører der, inklusive den vej, du bruger til fjernadministration. Noter adapterens navn og den interfacemetrik, klienten sætter, fordi det nye interface kan få forrang for det eksisterende. Hvis instansen administreres via en session manager i stedet for SSH eller RDP, så bekræft, at den vej stadig virker, efter klienten har forbundet.
Beslut, hvilken trafik klienten skal bære, før du aktiverer den. En fuld tunnel kan fange administrationssessionen og låse dig ude, og en delt tunnel kan lade instansen nå det private netværk, mens dens øvrige trafik tager en anden udgang. Test med en anden administrationsvej tilgængelig, og noter de ruter, klienten installerer, så en senere ændring kan forklares.
Server inde i VM'en: andre klienter slutter sig til den
For en selvadministreret server ejer du lytteren, certifikatet eller nøglematrialet, brugerdatabasen og videresendelsesreglerne. Hvis serveren videresender trafik for andre klienter, bliver instansen en router, og det kræver videresendelse på gæsteniveau plus ændringer af ruter og sikkerhedsgrupper på AWS-niveau.
Test lytteren fra gæsten og igen fra et andet undernet, og test derefter en vært, som instansen videresender for. En sund lokal tjeneste beviser intet om den videresendte vej, så noter begge resultater i ændringsnoten.
Administrerede gateways beholder tjenesten, ikke dit adgangsdesign
AWS Site-to-Site VPN dokumenterer tunnelrollerne for kundegateway og AWS-gateway, og køb af den forbindelse erstatter ikke ethvert fjernadgangsdesign. Client VPN dokumenterer et administreret slutpunkt med klientpersonaer, mens autorisationsreglerne og målruterne forbliver dine. AWS holder slutpunktet og dets certifikater kørende; hvem der må nå hvilken applikation, er stadig en autorisationsregel, du skriver og vedligeholder.
Vælg mellem produkterne på fem akser: hvilken rolle hver især spiller, hvilke protokoller den accepterer, hvilken identitetskilde den forventer, hvordan trafik videresendes, og hvordan tilgængelighed leveres. Spring enhver enkelt gennemstrømningstal over, der citeres i en forumtråd, fordi den offentliggjorte kapacitet flytter sig med tjenesten. Og antag ikke, at et administreret tunnelpar ændrer, hvordan en vilkårlig gæsteklient opfører sig.
Vælg rollen før produktet
Skriv én sætning, der navngiver retningen: denne VM slutter sig til et netværk, denne VM accepterer klienter, eller en AWS-gateway forbinder definerede netværk.
Den sætning afgør produktets shortliste, ejeren af softwaren og de fejltilstande, du skal fejlfinde. Hvis kravet er, at fjerne brugere når en applikation, er en klient installeret i applikationens VM den forkerte form. Hvis kravet er, at én VM når et partnernetværk, er en administreret site-to-site-gateway mere maskineri, end opgaven har brug for. Begge svar er legitime; kun ét af dem matcher den sætning, du skrev.