AWS Client VPN ή Site-to-Site: ελέγξτε ποιος ανοίγει τη σύνδεση

Τέσσερις έλεγχοι το αποφασίζουν, και κανένας τους δεν είναι το όνομα του πρωτοκόλλου. Ποιος ανοίγει τη σύνδεση, τι πιστοποιεί το AWS, πώς προσαρτάται η σύνδεση στο δίκτυό σας και ποια δρομολόγηση και πολιτική τη συνοδεύουν. Απαντήστε σε αυτά με τη σειρά και η επιλογή προϊόντος συνήθως γίνεται μόνη της· απαντήστε τα αφού έχετε ήδη αγοράσει σχεδιασμό και θα καταλήξετε να υπερασπίζεστε μια σήραγγα που λύνει το λάθος μισό του προβλήματος. Κανένας από τους τέσσερις δεν σας ζητά να διαλέξετε κρυπτογράφηση, γι' αυτό ένας σχεδιασμός που ξεκινά από το πρωτόκολλο είναι συνήθως σημάδι ότι οι απαιτήσεις δεν γράφτηκαν ποτέ.

Εκτελέστε κάθε έλεγχο στο πραγματικό τελικό σημείο, τον πελάτη και την οικογένεια διευθύνσεων που σκοπεύετε να χρησιμοποιήσετε, όχι στην κατηγορία. Τα διαχειριζόμενα προϊόντα VPN διαφέρουν από τα δομικά στοιχεία OpenVPN και IPsec στα οποία μοιάζουν.

Πρώτον, ποιος ανοίγει τη σύνδεση

Αν αυτό που χρειάζεται πρόσβαση είναι φορητός, τηλέφωνο ή σταθμός εργασίας ενός διαχειριστή, η σύνδεση ξεκινά από απομακρυσμένη συσκευή και ο σχεδιασμός είναι απομακρυσμένη πρόσβαση πελατών. Αν αυτό που χρειάζεται πρόσβαση είναι υποκατάστημα γεμάτο μηχανήματα πίσω από έναν δρομολογητή, η σύνδεση ξεκινά από αυτόν τον δρομολογητή και ο σχεδιασμός είναι πύλη-προς-πύλη. Αυτός είναι ο έλεγχος που κρίνει τις περισσότερες περιπτώσεις, και είναι αυτός που οι άνθρωποι παραλείπουν όταν μια παρουσίαση προμηθευτή έχει ήδη πλαισιώσει τη συζήτηση γύρω από κρυπτογραφήσεις.

Σταματήστε εδώ αν δεν μπορείτε να ονομάσετε το στοιχείο που ξεκινά. Ένας σχεδιασμός που προσπαθεί να εξυπηρετήσει και τις δύο περιπτώσεις με μία σήραγγα καταλήγει συνήθως σε συνεδρία πελάτη που παριστάνει την πύλη.

Δεύτερον, τι πιστοποιεί το AWS

Με το Client VPN το AWS πιστοποιεί τη διαμορφωμένη ταυτότητα πελάτη ή χρήστη: πιστοποιητικά, κατάλογο ή ομοσπονδιακή ταυτότητα, ανάλογα με τη ρύθμιση. Με το Site-to-Site VPN το AWS πιστοποιεί την ταυτότητα του ομοτίμου της πύλης. Αυτή η διαφορά δεν είναι διακοσμητική. Το ένα μοντέλο κλιμακώνεται προσθέτοντας χρήστες και ανακαλώντας τα διαπιστευτήριά τους· το άλλο κλιμακώνεται εμπιστευόμενο ό,τι βρίσκεται πίσω από μία πύλη.

Η πιστοποίηση πύλης δεν πιστοποιεί κάθε εργαζόμενο ή εφαρμογή πίσω της, γι' αυτό κρατήστε τις ταυτότητες εφαρμογών και την πρόσβαση σε επίπεδο πόρου ακόμη και όταν η ίδια η σήραγγα θεωρείται έμπιστη. Ένα υποκατάστημα του οποίου ο δρομολογητής έχει έγκυρη ταυτότητα ομοτίμου δεν πρέπει να διαβάζεται αυτόματα ως εξουσιοδότηση για κάθε γραφείο σε αυτό το κτίριο.

Τρίτον, πώς προσαρτάται η σύνδεση

Το Client VPN προσαρτάται μέσω συσχετίσεων υποδικτύου VPC ή υποστηριζόμενης άμεσης προσάρτησης Transit Gateway. Το Site-to-Site VPN προσαρτάται σε στόχο AWS VPN, συνήθως σε εικονική ιδιωτική πύλη ή σε Transit Gateway. Ο οδηγός αρχιτεκτονικής του Client VPN τεκμηριώνει την επιλογή Transit Gateway, και η ύπαρξή της δεν μετατρέπει μια συνεδρία φορητού σε πύλη υποκαταστήματος ούτε αφαιρεί την πιστοποίηση και εξουσιοδότηση πελάτη που περιγράφηκαν παραπάνω.

Ελέγξτε την προσάρτηση που υποστηρίζουν πραγματικά ο λογαριασμός και η περιοχή σας πριν σχεδιάσετε διαδρομές γύρω της, και μετά ελέγξτε σε ποιον ανήκει αυτή η προσάρτηση. Μια επιλογή που υπάρχει στην τεκμηρίωση αλλά βρίσκεται σε δίκτυο που δεν μπορείτε να διαμορφώσετε δεν είναι επιλογή.

Τέταρτον, ποια δρομολόγηση και πολιτική τη συνοδεύουν

Το Client VPN φέρνει διαχείριση συνδέσεων πελατών και κανόνες εξουσιοδότησης για τα δίκτυα προορισμού που επιτρέπετε. Ένας συνδεδεμένος χρήστης χρειάζεται ακόμη τη διαδρομή προς το τελικό σημείο, έναν κανόνα εξουσιοδότησης που την επιτρέπει και όποια πρόσβαση απαιτεί ο ίδιος ο πόρος. Το Site-to-Site VPN δρομολογεί μεταξύ δικτύων που αντιπροσωπεύονται από πύλη πελάτη, χρησιμοποιώντας υποστηριζόμενες στατικές διαδρομές ή BGP ανάλογα με τον σχεδιασμό, ώστε οι επιμέρους μηχανές πίσω από τον δρομολογητή του υποκαταστήματος να μη χρειάζονται καθεμία σύνδεση πελάτη.

Μην συνάγετε μη υποστηριζόμενη συμπεριφορά από την κατηγορία προς καμία κατεύθυνση. Τα VPN απομακρυσμένης πρόσβασης δεν είναι καθολικά ανίκανα να μεταφέρουν επιστρεφόμενη κίνηση ή να υποστηρίζουν διατάξεις πύλης, και το IPsec δεν μπλοκάρεται αυτόματα από το NAT — το AWS τεκμηριώνει τη διέλευση NAT και τις απαιτήσεις πύλης πελάτη, και η υποστηριζόμενη διαμόρφωση πύλης είναι ο πραγματικός περιορισμός. Ελέγξτε τους περιορισμούς για το τελικό σημείο σας πριν απαιτήσετε συνδέσεις που ξεκινούν προς τους πελάτες ή προωθήσετε ένα LAN πίσω από μία συνεδρία. Η ίδια προσοχή ισχύει για τις οικογένειες διευθύνσεων: ένα τελικό σημείο που λειτουργεί μέσω IPv4 δεν συνεπάγεται διαδρομή IPv6, γι' αυτό επιβεβαιώστε την οικογένεια που θα διαπραγματευτεί πραγματικά ο πελάτης ή η πύλη σας.

Το Site-to-Site VPN σάς δίνει δύο σήραγγες ανά σύνδεση, και αυτός ο πλεονασμός είναι εργασία σχεδιασμού και όχι χαρακτηριστικό που μπορείτε να υποθέσετε. Η λειτουργία της πύλης πελάτη, η εναλλαγή διαδρομών και η κάλυψη δοκιμών πρέπει όλα να σχεδιαστούν· η σύγκριση μιας συνεδρίας φορητού με έναν αφηρημένο διακομιστή VPN δεν αποδεικνύει τίποτα για κανένα από τα δύο.

Όπου συναντώνται οι δύο σχεδιασμοί

Οι υπηρεσίες δεν είναι αλληλοαποκλειόμενες, και το σύνηθες παραγωγικό σχήμα χρησιμοποιεί και τις δύο: εργαζόμενοι στο Client VPN, δίκτυα υποκαταστημάτων στο Site-to-Site, με ρητές διαδρομές και πολιτική πρόσβασης μεταξύ των προορισμών που πρέπει να επικοινωνούν. Ο πίνακας είναι σύνοψη των τεσσάρων ελέγχων, όχι υποκατάστατο της εκτέλεσής τους.

Ένα πράγμα που δεν αντικαθιστά κανένα από τα δύο προϊόντα: TLS προς μια εφαρμογή της οποίας η απαίτηση κρυπτογράφησης εκτείνεται πέρα από το τελικό σημείο VPN. Αν το πεδίο συμμόρφωσής σας τελειώνει στην εφαρμογή, η σήραγγα είναι μεταφορά και το πιστοποιητικό παραμένει ο έλεγχος.

Γράψτε τις τέσσερις απαντήσεις πριν από την ανασκόπηση σχεδιασμού, μία γραμμή την καθεμία. Όταν δύο από αυτές διαφωνούν — πείτε, ένας σχεδιασμός πελάτη με πιστοποίηση χρήστη και απαίτηση δρομολόγησης μεγέθους υποκαταστήματος — αυτή η διαφωνία είναι το εύρημα, και είναι φθηνότερο να το δείτε τώρα παρά κατά τη μετάβαση.