EC2 Windows: VPN-klient, VPN-server või AWS-lüüs?
Windowsi EC2 eksemplar võib käitada VPN-tarkvara, kuid klient, isehaldatud server ja AWS-lüüs on erinevad rollid erinevate omanikega.
Meeskond vajab VPN-ühendust rakendusele, mis töötab Windowsi EC2 eksemplaril, leiab ühilduva klienditarkvara, paigaldab selle ja küsib seejärel, miks ülejäänud VPC seda kasutada ei saa. Paigaldus õnnestus; rolli ei otsustatud kunagi. Külalise sees töötav tarkvara võib olla klient, mis liitub kellegi teise võrku, server, mis võtab vastu teisi kliente, või mitte kumbki AWS-i hallatavatest VPN-toodetest, ja iga roll jätab teile erineva töö.
Sümptom on tavaliselt vale roll
Levinud sümptom on töötav tunnel, mis lahendab vale probleemi. Virtuaalmasinas olev klient annab sellele masinale väljuva tee; see ei anna teie sülearvutile, kontorile ega teisele alavõrgule sissepääsuteed. Virtuaalmasinas olev server annab teistele sissepääsutee, kuid nüüd kuuluvad teile kuulaja, autentimine ja edasisaatmine.
Hallatavad teenused viivad teenuse käitamise AWS-i ja jätavad disaini teile. Site-to-Site VPN ühendab võrke kliendi lüüsi ja AWS-i lüüsi kaudu ning Client VPN annab kaugseadmetele hallatava lõpp-punkti. Mõlemal juhul on marsruudid, volitusreeglid ja identiteedi allikas teie konfiguratsioon ning kumbki toode ei paigalda Windowsi külalisesse üldotstarbelist klienti.
Võimalikud on neli kuju ja tabel eraldab need selle järgi, mis millega ühendub ja kes kannab töökoormust.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Lugege rida, mitte toote nime: sama Windowsi eksemplar võib olla kahes erinevas reas sõltuvalt sellest, milline tarkvara selles töötab.
Klient virtuaalmasinas: masin liitub võrguga
Väljuv klient peab enne millegi paigaldamist kontrollima Windowsi build'i, arhitektuuri ja draiverinõudeid. Klient muudab eksemplari marsruute ja DNS-i, mis võib mõjutada seal juba töötavaid teenuseid, sealhulgas teed, mida kasutate kaughalduseks. Kirjutage üles adapteri nimi ja liidese metrika, mille klient seab, sest uus liides võib saada olemasoleva ees eelisõiguse. Kui eksemplari hallatakse sessioonihalduri, mitte SSH või RDP kaudu, kinnitage, et see tee töötab ka pärast kliendi ühendumist.
Otsustage, millist liiklust klient peaks kandma, enne kui selle lubate. Täistunnel võib haarata haldussessiooni ja teid välja lukustada ning jaotatud tunnel võib jätta eksemplari privaatvõrku jõudma, samal ajal kui selle muu liiklus läheb teist väljapääsu. Katsetage teise haldustee olemasolul ja kirjutage üles marsruudid, mille klient paigaldab, et hilisem muudatus oleks seletatav.
Server virtuaalmasinas: teised kliendid liituvad sellega
Isehaldatud serveri puhul kuuluvad teile kuulaja, sertifikaat või võtmematerjal, kasutajate andmebaas ja edasisaatmisreeglid. Kui server saadab liiklust edasi teistele klientidele, muutub eksemplar marsruuteriks ja see nõuab külalise tasandil edasisaatmist pluss marsruutide ja turvagruppide muudatusi AWS-i tasandil.
Kontrollige kuulajat külalisest ja seejärel teisest alavõrgust, siis kontrollige hosti, mille jaoks eksemplar edasi saadab. Terve kohalik teenus ei tõesta edasisaadetava tee kohta midagi, seega kirjutage mõlemad tulemused muudatuse märkmesse.
Hallatavad lüüsid hoiavad teenust, mitte teie juurdepääsudisaini
AWS Site-to-Site VPN dokumenteerib kliendi lüüsi ja AWS-i lüüsi tunnelite rollid ning selle ühenduse ostmine ei asenda iga kaugjuurdepääsu disaini. Client VPN dokumenteerib hallatava lõpp-punkti kliendi personasidega, samal ajal kui volitusreeglid ja sihtkoha marsruudid jäävad teie omaks. AWS hoiab lõpp-punkti ja selle sertifikaate töös; kes millisele rakendusele pääseb, on endiselt volitusreegel, mille te kirjutate ja hoiate.
Valige toodete vahel viiel teljel: millist rolli kumbki mängib, milliseid protokolle see aktsepteerib, millist identiteedi allikat see ootab, kuidas liiklust edasi saadetakse ja kuidas kättesaadavust pakutakse. Eirake ükskõik millist üksikut läbilaskevõime numbrit, mida foorumilõimes tsiteeritakse, sest avaldatud maht muutub koos teenusega. Ja ärge eeldage, et hallatav tunnelipaar muudab suvalise külaliskliendi käitumist.
Valige roll enne toodet
Kirjutage üks lause, mis nimetab suuna: see masin liitub võrguga, see masin võtab vastu kliente või AWS-i lüüs ühendab määratud võrke.
See lause otsustab toodete lühinimekirja, tarkvara omaniku ja tõrgete tüübid, mida hakkate siluma. Kui nõue on, et kaugkasutajad jõuaksid rakenduseni, on rakenduse virtuaalmasinasse paigaldatud klient vale kuju. Kui nõue on, et üks masin jõuaks partneri võrku, on hallatav sait-sait-lüüs rohkem masinavärki, kui ülesanne vajab. Mõlemad vastused on õigustatud; ainult üks neist vastab lausele, mille kirjutasite.