AWS Client VPN oder Site-to-Site: prüfen Sie, wer die Verbindung aufbaut

Vier Prüfungen entscheiden darüber, und keine davon ist der Protokollname. Wer die Verbindung öffnet, was AWS authentifiziert, wie die Verbindung an Ihr Netz angebunden wird und welche Routenführung und Richtlinie damit einhergehen. Beantworten Sie diese der Reihe nach, und die Produktentscheidung fällt meist von selbst; beantworten Sie sie erst, nachdem Sie ein Design gekauft haben, und Sie verteidigen am Ende einen Tunnel, der die falsche Hälfte des Problems löst. Keine der vier verlangt von Ihnen, eine Verschlüsselung zu wählen, weshalb ein protokollgetriebenes Design meist ein Zeichen dafür ist, dass die Anforderungen nie aufgeschrieben wurden.

Führen Sie jede Prüfung gegen den tatsächlichen Endpunkt, Client und die Adressfamilie durch, die Sie verwenden wollen, nicht gegen die Kategorie. Verwaltete VPN-Produkte unterscheiden sich von den OpenVPN- und IPsec-Bausteinen, denen sie ähneln.

Erstens: Wer öffnet die Verbindung

Wenn das Objekt des Zugriffs ein Notebook, ein Telefon oder die Workstation eines einzelnen Administrators ist, beginnt die Verbindung an einem entfernten Gerät und das Design ist Fernzugriff für Clients. Wenn das Objekt des Zugriffs eine Filiale voller Rechner hinter einem Router ist, beginnt die Verbindung an diesem Router und das Design ist Gateway-zu-Gateway. Das ist die Prüfung, die die meisten Fälle entscheidet, und sie ist die, die man überspringt, wenn eine Anbieterpräsentation das Gespräch schon um Verschlüsselungsverfahren herum gerahmt hat.

Halten Sie hier inne, wenn Sie die Komponente nicht benennen können, die die Verbindung auslöst. Ein Design, das beide Fälle mit einem Tunnel bedienen will, endet meist mit einer Clientsitzung, die sich als Gateway ausgibt.

Zweitens: Was AWS authentifiziert

Bei Client VPN authentifiziert AWS die konfigurierte Client- oder Benutzeridentität: Zertifikate, ein Verzeichnis oder eine föderierte Identität, je nach Einrichtung. Bei Site-to-Site VPN authentifiziert AWS die Identität des Gateway-Peers. Dieser Unterschied ist nicht kosmetisch. Das eine Modell skaliert, indem Benutzer hinzugefügt und ihre Anmeldedaten widerrufen werden; das andere skaliert, indem allem vertraut wird, was hinter einem einzigen Gateway steht.

Die Gateway-Authentifizierung authentifiziert nicht jeden Mitarbeiter und nicht jede Anwendung dahinter, deshalb bleiben Anwendungsidentitäten und Zugriff auf Ressourcenebene bestehen, auch wenn der Tunnel selbst als vertrauenswürdig gilt. Eine Filiale, deren Router eine gültige Peer-Identität besitzt, darf nicht automatisch so gelesen werden, als sei jeder Schreibtisch in diesem Gebäude berechtigt.

Drittens: Wie die Verbindung angebunden wird

Client VPN wird über VPC-Subnetz-Zuordnungen oder eine unterstützte direkte Transit Gateway-Anbindung angebunden. Site-to-Site VPN wird an ein AWS VPN-Ziel angebunden, üblicherweise ein virtuelles privates Gateway oder ein Transit Gateway. Der Architekturleitfaden für Client VPN dokumentiert die Transit Gateway-Option, und ihre Existenz macht aus einer Notebook-Sitzung kein Filial-Gateway und entfernt nicht die oben beschriebene Client-Authentifizierung und -Autorisierung.

Prüfen Sie, welche Anbindung Ihr Konto und Ihre Region tatsächlich unterstützen, bevor Sie Routen darum herum entwerfen, und prüfen Sie dann, wem diese Anbindung gehört. Eine Option, die in der Dokumentation existiert, aber in einem Netz liegt, das Sie nicht konfigurieren können, ist keine Option.

Viertens: Welche Routenführung und Richtlinie damit einhergehen

Client VPN bringt Verwaltung von Clientverbindungen und Autorisierungsregeln für die Zielnetze mit, die Sie zulassen. Ein verbundener Benutzer braucht weiterhin die vorgesehene Route zum Endpunkt, eine Autorisierungsregel, die sie erlaubt, und den Zugriff, den die Ressource selbst verlangt. Site-to-Site VPN leitet zwischen Netzen weiter, die durch ein Kundengateway repräsentiert werden, und nutzt je nach Design unterstützte statische Routen oder BGP, sodass einzelne Rechner hinter dem Filialrouter nicht jeweils eine Client-Anmeldung benötigen.

Leiten Sie in keine Richtung nicht unterstütztes Verhalten aus der Kategorie ab. Fernzugriffs-VPNs sind nicht grundsätzlich unfähig, Rückverkehr zu tragen oder Gateway-Anordnungen zu unterstützen, und IPsec wird nicht automatisch durch NAT blockiert — AWS dokumentiert NAT-Traversal und Anforderungen an Kundengateways, und die unterstützte Gateway-Konfiguration ist die eigentliche Einschränkung. Prüfen Sie die Einschränkungen für Ihren Endpunkt, bevor Sie Verbindungen verlangen, die zu Clients hin aufgebaut werden, oder ein LAN hinter einer Sitzung weiterleiten. Dieselbe Vorsicht gilt für Adressfamilien: Ein Endpunkt, der über IPv4 funktioniert, bedeutet keinen IPv6-Pfad, bestätigen Sie also die Familie, die Ihr Client oder Gateway tatsächlich aushandeln wird.

Site-to-Site VPN gibt Ihnen zwei Tunnel pro Verbindung, und diese Redundanz ist eine Designaufgabe und keine Funktion, die Sie voraussetzen können. Betrieb des Kundengateways, Routen-Failover und Testabdeckung müssen alle geplant werden; eine Notebook-Sitzung mit einem abstrakten VPN-Server zu vergleichen, beweist nichts über beides.

Wo die beiden Designs zusammentreffen

Die Dienste schließen sich nicht aus, und die übliche Produktionsform nutzt beide: Mitarbeiter über Client VPN, Filialnetze über Site-to-Site, mit ausdrücklichen Routen und Zugriffsrichtlinien zwischen den Zielen, die miteinander sprechen müssen. Die Tabelle ist eine Zusammenfassung der vier Prüfungen, kein Ersatz für ihre Durchführung.

Eines ersetzt keines der beiden Produkte: TLS zu einer Anwendung, deren Verschlüsselungsanforderung über den VPN-Endpunkt hinausreicht. Wenn Ihr Compliance-Umfang an der Anwendung endet, ist der Tunnel Transport und das Zertifikat bleibt die Kontrolle.

Schreiben Sie die vier Antworten vor der Designprüfung auf, je eine Zeile. Wenn sich zwei widersprechen — etwa ein benutzerauthentifiziertes Client-Design mit einem Routingbedarf in Filialgröße —, ist dieser Widerspruch der Befund, und er ist jetzt billiger zu sehen als beim Umschnitt.