AWS Client VPN või Site-to-Site: kontrollige, kes ühenduse avab
Client VPN autendib seadet või kasutajat; Site-to-Site ühendab lüüsi AWS-iga. Neli kontrolli otsustavad, kumb on tegelikult vajalik teie sülearvutile või harukontorile.
Selle otsustavad neli kontrolli ja ükski neist ei ole protokolli nimi. Kes ühenduse avab, mida AWS autendib, kuidas ühendus teie võrku kinnitub ja milline marsruutimine ning poliitika sellega kaasas käib. Vastake neile järjestuses ja tootevalik teeb end tavaliselt ise; vastake neile pärast seda, kui olete disaini juba ostnud, ja te kaitsete tunnelit, mis lahendab probleemi vale poole. Ükski neljast ei palu teil šifrit valida, mistõttu on protokollist algav disain tavaliselt märk sellest, et nõudeid ei kirjutatud kunagi üles.
Viige iga kontroll läbi tegeliku lõpp-punkti, kliendi ja aadressiperekonna vastu, mida kavatsete kasutada, mitte kategooria vastu. Hallatavad VPN-tooted erinevad OpenVPN-i ja IPsec-i ehitusplokkidest, millega nad sarnanevad.
Esiteks, kes ühenduse avab
Kui juurdepääsu vajav asi on sülearvuti, telefon või ühe administraatori tööjaam, algab ühendus kaugseadmest ja disain on kaugkliendi juurdepääs. Kui juurdepääsu vajav asi on ühe ruuteri taga olevatest masinatest täis harukontor, algab ühendus sellest ruuterist ja disain on lüüs-lüüsini. See on kontroll, mis otsustab enamiku juhtudest, ja just selle jätavad inimesed vahele, kui tarnija esitlus on vestluse juba šifrite ümber raaminud.
Peatuge siin, kui te ei suuda nimetada komponenti, mis algatab. Disain, mis püüab mõlemat juhtumit ühe tunneliga teenindada, lõpeb tavaliselt kliendiseansiga, mis teeskleb lüüsi.
Teiseks, mida AWS autendib
Client VPN-i puhul autendib AWS konfigureeritud kliendi- või kasutajaidentiteedi: sertifikaadid, kataloogi või födereeritud identiteedi, olenevalt seadistusest. Site-to-Site VPN-i puhul autendib AWS lüüsi partneridentiteedi. See erinevus ei ole kosmeetiline. Üks mudel skaleerub kasutajate lisamise ja nende volituste tühistamisega; teine skaleerub usaldades kõike, mis seisab ühe lüüsi taga.
Lüüsi autentimine ei autendi iga töötajat ega rakendust selle taga, seega hoidke rakendusidentiteedid ja ressursitasandi juurdepääs alles ka siis, kui tunnel ise on usaldusväärne. Harukontor, mille ruuteril on kehtiv partneridentiteet, ei tohiks automaatselt lugeda nii, nagu oleks iga laud selles hoones volitatud.
Kolmandaks, kuidas ühendus kinnitub
Client VPN kinnitub VPC alamvõrgu assotsiatsioonide või toetatud otsese Transit Gateway-i kinnituse kaudu. Site-to-Site VPN kinnitub AWS VPN-i sihtmärgile, tavaliselt virtuaalsele privaatsele lüüsile või Transit Gateway-le. Client VPN-i arhitektuuri juhend dokumenteerib Transit Gateway-i valiku ja selle olemasolu ei muuda sülearvuti seanssi harukontori lüüsiks ega eemalda ülalkirjeldatud kliendi autentimist ja autoriseerimist.
Kontrollige kinnitust, mida teie konto ja regioon tegelikult toetavad, enne kui projekteerite selle ümber marsruute, seejärel kontrollige, kellele see kinnitus kuulub. Valik, mis on dokumentatsioonis olemas, kuid asub võrgus, mida te ei saa konfigureerida, ei ole valik.
Neljandaks, milline marsruutimine ja poliitika sellega kaasas käib
Client VPN toob kliendiühenduste halduse ja autoriseerimisreeglid sihtvõrkudele, mida lubate. Ühendatud kasutaja vajab endiselt kavandatud marsruuti lõpp-punktini, seda lubavat autoriseerimisreeglit ja juurdepääsu, mida ressurss ise nõuab. Site-to-Site VPN marsruudib kliendi lüüsiga esindatud võrkude vahel, kasutades disainist olenevalt toetatud staatilisi marsruute või BGP-d, nii et harukontori ruuteri taga olevad üksikud masinad ei vaja igaüks kliendisisselogimist.
Ärge tuletage kategooriast mittetoetatud käitumist kummaski suunas. Kaugjuurdepääsu VPN-id ei ole universaalselt võimetud edastama tagasiliiklust ega toetama lüüsilahendusi ning IPsec-i ei blokeeri automaatselt NAT — AWS dokumenteerib NAT-i läbimise ja kliendi lüüsi nõuded ning tegelik piirang on toetatud lüüsikonfiguratsioon. Kontrollige oma lõpp-punkti piiranguid enne, kui nõuate klientide suunas algatatud ühendusi või edastate LAN-i ühe seansi taga. Sama ettevaatlikkus kehtib aadressiperekondade kohta: IPv4 kohal töötav lõpp-punkt ei tähenda IPv6 teed, seega kinnitage perekond, mille üle teie klient või lüüs tegelikult läbirääkimisi peab.
Site-to-Site VPN annab teile ühenduse kohta kaks tunnelit ja see liiasus on disainiülesanne, mitte funktsioon, mida saab eeldada. Kliendi lüüsi töö, marsruutide ümberlülitus ja testide katvus tuleb kõik planeerida; ühe sülearvutiseansi võrdlemine abstraktse VPN-serveriga ei tõesta kummagi kohta midagi.
Kus kaks disaini kohtuvad
Teenused ei ole välistavad ja tavaline tootmisvorm kasutab mõlemat: töötajad Client VPN-is, harukontori võrgud Site-to-Site-is, selgete marsruutide ja juurdepääsupoliitikaga nende sihtkohtade vahel, mis peavad suhtlema. Tabel on nelja kontrolli kokkuvõte, mitte nende tegemise asendus.
| Question | AWS Client VPN | AWS Site-to-Site VPN |
|---|---|---|
| Who establishes it? | A client on a remote device | A customer gateway device or appliance |
| What is authenticated? | The client or user identity | The gateway peer identity |
| How does it attach? | VPC subnet association or Transit Gateway | Virtual private gateway or Transit Gateway |
| What carries the path? | An OpenVPN-based client tunnel | IPsec tunnels to AWS endpoints |
Üks asi, mida kumbki toode ei asenda: TLS rakendusesse, mille krüpteerimisnõue ulatub VPN-i lõpp-punktist kaugemale. Kui teie vastavusulatus lõpeb rakendusel, on tunnel transport ja sertifikaat on endiselt kontroll.
Kirjutage neli vastust enne disainiülevaatust üles, igaüks ühele reale. Kui kaks neist on vastuolus — näiteks kasutaja-autendiga kliendidisain ja harukontori suurusega marsruutimisnõue —, on see vastuolu leid ja seda on odavam näha praegu kui ülemineku ajal.