EC2 Windows: πελάτης VPN, διακομιστής VPN ή πύλη AWS;

Μια ομάδα χρειάζεται συνδεσιμότητα VPN για μια εφαρμογή που εκτελείται σε στιγμιότυπο EC2 με Windows, βρίσκει συμβατό λογισμικό πελάτη, το εγκαθιστά και έπειτα ρωτά γιατί το υπόλοιπο VPC δεν μπορεί να το χρησιμοποιήσει. Η εγκατάσταση λειτούργησε· ο ρόλος δεν αποφασίστηκε ποτέ. Το λογισμικό που εκτελείται μέσα σε ένα φιλοξενούμενο σύστημα μπορεί να είναι πελάτης που συνδέεται στο δίκτυο κάποιου άλλου, διακομιστής που δέχεται άλλους πελάτες ή κανένα από τα προϊόντα VPN που διαχειρίζεται η AWS, και κάθε ρόλος αφήνει διαφορετική δουλειά σε εσάς.

Το σύμπτωμα είναι συνήθως ο λάθος ρόλος

Το σύνηθες σύμπτωμα είναι μια σήραγγα που λειτουργεί αλλά λύνει το λάθος πρόβλημα. Ένας πελάτης μέσα στην εικονική μηχανή δίνει σε αυτήν εξερχόμενη διαδρομή· δεν δίνει στον φορητό σας, στο γραφείο σας ή σε άλλο υποδίκτυο τρόπο εισόδου. Ένας διακομιστής μέσα στην εικονική μηχανή δίνει σε άλλους τρόπο εισόδου, αλλά τώρα κατέχετε τον ακροατή, την αυθεντικοποίηση και την προώθηση.

Οι διαχειριζόμενες υπηρεσίες μετακινούν τη λειτουργία της υπηρεσίας στην AWS και αφήνουν τον σχεδιασμό σε εσάς. Το Site-to-Site VPN συνδέει δίκτυα μέσω πύλης πελάτη και πύλης AWS, και το Client VPN δίνει σε απομακρυσμένες συσκευές ένα διαχειριζόμενο τελικό σημείο. Και στις δύο περιπτώσεις οι διαδρομές, οι κανόνες εξουσιοδότησης και η πηγή ταυτότητας είναι η δική σας διαμόρφωση, και κανένα από τα προϊόντα δεν εγκαθιστά πελάτη γενικής χρήσης μέσα σε φιλοξενούμενα Windows.

Τέσσερις μορφές είναι δυνατές, και ο πίνακας τις χωρίζει με βάση το τι συνδέεται με τι και ποιος φέρει το λειτουργικό βάρος.

Διαβάστε τη γραμμή και όχι το όνομα του προϊόντος: το ίδιο στιγμιότυπο Windows μπορεί να βρίσκεται σε δύο διαφορετικές γραμμές ανάλογα με το λογισμικό που εκτελείται μέσα του.

Πελάτης μέσα στην εικονική μηχανή: η μηχανή συνδέεται σε δίκτυο

Ένας εξερχόμενος πελάτης χρειάζεται έλεγχο της έκδοσης Windows, της αρχιτεκτονικής και των απαιτήσεων προγράμματος οδήγησης πριν εγκατασταθεί οτιδήποτε. Ο πελάτης θα αλλάξει διαδρομές και DNS στο στιγμιότυπο, κάτι που μπορεί να επηρεάσει υπηρεσίες που ήδη εκτελούνται εκεί, συμπεριλαμβανομένης της διαδρομής που χρησιμοποιείτε για απομακρυσμένη διαχείριση. Καταγράψτε το όνομα του προσαρμογέα και τη μετρική διεπαφής που ορίζει ο πελάτης, επειδή η νέα διεπαφή μπορεί να αποκτήσει προτεραιότητα έναντι της υπάρχουσας. Αν το στιγμιότυπο διαχειρίζεται μέσω διαχειριστή συνεδριών αντί για SSH ή RDP, επιβεβαιώστε ότι αυτή η διαδρομή λειτουργεί ακόμη μετά τη σύνδεση του πελάτη.

Αποφασίστε ποια κίνηση θα μεταφέρει ο πελάτης πριν τον ενεργοποιήσετε. Μια πλήρης σήραγγα μπορεί να αιχμαλωτίσει τη συνεδρία διαχείρισης και να σας κλειδώσει έξω, και μια διαχωρισμένη σήραγγα μπορεί να αφήσει το στιγμιότυπο να φτάνει στο ιδιωτικό δίκτυο ενώ η υπόλοιπη κίνησή του παίρνει άλλη έξοδο. Δοκιμάστε με δεύτερη διαθέσιμη διαδρομή διαχείρισης και καταγράψτε τις διαδρομές που εγκαθιστά ο πελάτης ώστε μια μεταγενέστερη αλλαγή να εξηγείται.

Διακομιστής μέσα στην εικονική μηχανή: άλλοι πελάτες συνδέονται σε αυτόν

Για έναν αυτοδιαχειριζόμενο διακομιστή κατέχετε τον ακροατή, το πιστοποιητικό ή το υλικό κλειδιού, τη βάση χρηστών και τους κανόνες προώθησης. Αν ο διακομιστής προωθεί κίνηση για άλλους πελάτες, το στιγμιότυπο γίνεται δρομολογητής, και αυτό απαιτεί προώθηση σε επίπεδο φιλοξενούμενου συν αλλαγές διαδρομών και ομάδων ασφαλείας σε επίπεδο AWS.

Ελέγξτε τον ακροατή από το φιλοξενούμενο σύστημα και ξανά από άλλο υποδίκτυο, έπειτα ελέγξτε έναν κεντρικό υπολογιστή για τον οποίο προωθεί το στιγμιότυπο. Μια υγιής τοπική υπηρεσία δεν αποδεικνύει τίποτα για την προωθούμενη διαδρομή, οπότε καταγράψτε και τα δύο αποτελέσματα στο σημείωμα αλλαγής.

Οι διαχειριζόμενες πύλες κρατούν την υπηρεσία, όχι τον σχεδιασμό πρόσβασής σας

AWS Site-to-Site VPN τεκμηριώνει τους ρόλους σήραγγας της πύλης πελάτη και της πύλης AWS, και η αγορά αυτής της σύνδεσης δεν αντικαθιστά κάθε σχεδιασμό απομακρυσμένης πρόσβασης. Το Client VPN τεκμηριώνει ένα διαχειριζόμενο τελικό σημείο με προσωπικότητες πελάτη, ενώ οι κανόνες εξουσιοδότησης και οι διαδρομές προορισμού παραμένουν δικές σας. Η AWS κρατά το τελικό σημείο και τα πιστοποιητικά του σε λειτουργία· ποιος μπορεί να φτάσει σε ποια εφαρμογή παραμένει κανόνας εξουσιοδότησης που γράφετε και συντηρείτε.

Επιλέξτε μεταξύ των προϊόντων σε πέντε άξονες: ποιον ρόλο παίζει το καθένα, ποια πρωτόκολλα δέχεται, ποια πηγή ταυτότητας περιμένει, πώς προωθείται η κίνηση και πώς παρέχεται η διαθεσιμότητα. Αγνοήστε οποιοδήποτε μεμονωμένο νούμερο απόδοσης αναφέρεται σε νήμα φόρουμ, επειδή η δημοσιευμένη χωρητικότητα αλλάζει με την υπηρεσία. Και μην υποθέσετε ότι ένα διαχειριζόμενο ζεύγος σηράγγων αλλάζει τη συμπεριφορά ενός αυθαίρετου φιλοξενούμενου πελάτη.

Επιλέξτε τον ρόλο πριν από το προϊόν

Γράψτε μία πρόταση που ονομάζει την κατεύθυνση: αυτή η εικονική μηχανή συνδέεται σε δίκτυο, αυτή η μηχανή δέχεται πελάτες ή μια πύλη AWS συνδέει καθορισμένα δίκτυα.

Αυτή η πρόταση καθορίζει τη σύντομη λίστα προϊόντων, τον ιδιοκτήτη του λογισμικού και τους τρόπους αστοχίας που θα εντοπίζετε. Αν η απαίτηση είναι απομακρυσμένοι χρήστες να φτάνουν σε μια εφαρμογή, ένας πελάτης εγκατεστημένος στην εικονική μηχανή της εφαρμογής είναι η λάθος μορφή. Αν η απαίτηση είναι μία μηχανή να φτάνει σε δίκτυο συνεργάτη, μια διαχειριζόμενη πύλη τοποθεσίας-σε-τοποθεσία είναι περισσότερα μηχανήματα από όσα χρειάζεται η εργασία. Και οι δύο απαντήσεις είναι νόμιμες· μόνο μία ταιριάζει με την πρόταση που γράψατε.