AWS Client VPN ala Site-to-Site: egiaztatu nork irekitzen duen konexioa

Lau egiaztapenek erabakitzen dute hau, eta horietako bat ere ez da protokoloaren izena. Nork irekitzen du konexioa, zeri autentifikatzen dio AWSek, nola lotzen zaion konexioa zure sareari, eta zein bideratze eta politika datozen harekin. Erantzun horiei ordenan eta produktuaren hautaketak bere burua egiten du normalean; erantzun diseinu bat erosi ondoren eta arazoaren erdi okerra konpontzen duen tunel bat defendatzen amaituko duzu. Lau horietako batek ere ez eskatzen dizu zifratze bat aukeratzea, eta horregatik protokoloarekin hasten den diseinu bat beti da baldintzak inoiz idatzi ez zirela adierazten duen seinale.

Egin egiaztapen bakoitza erabili nahi dituzun benetako amaiera-puntuaren, bezeroaren eta helbide-familiaren aurka, ez kategoriaren aurka. Kudeatutako VPN produktuak antzekoak zaizkien OpenVPN eta IPsec eraikuntza-blokeetatik desberdinak dira.

Lehenik, nork irekitzen du konexioa

Sarbidea behar duen gauza eramangarri bat, telefono bat edo administratzaile bakarreko lan-estazio bat bada, konexioa urruneko gailu batean hasten da eta diseinua urruneko bezero-sarbidea da. Sarbidea behar duen gauza bideratzaile baten atzean makinez betetako sukurtsal bat bada, konexioa bideratzaile horretan hasten da eta diseinua atebide-atebide da. Hau da kasu gehienak ebazten dituen egiaztapena, eta hau da jendeak saltzaile baten aurkezpenak elkarrizketa jada zifratzeen inguruan markatu duenean saltatzen duena.

Gelditu hemen ezin baduzu hasieratzen duen osagaia izendatu. Kasu biak tunel bakar batekin zerbitzatu nahi dituen diseinu bat bezero-saio batekin amaitzen da normalean, atebide gisa mozorrotuta.

Bigarrenik, zeri autentifikatzen dio AWSek

Client VPN-rekin AWSek konfiguratutako bezero- edo erabiltzaile-identitatea autentifikatzen du: ziurtagiriak, direktorio bat edo identitate federatu bat, konfigurazioaren arabera. Site-to-Site VPN-rekin AWSek atebidearen pareko identitatea autentifikatzen du. Aldea ez da kosmetikoa. Eredu batek erabiltzaileak gehituz eta haien kredentzialak baliogabetuz eskalatzen du; besteak atebide bakar baten atzean dagoen guztian konfiatuz eskalatzen du.

Atebidearen autentifikazioak ez ditu atzean dauden langile edo aplikazio guztiak autentifikatzen, beraz mantendu aplikazio-identitateak eta baliabide mailako sarbidea tunela bera fidagarria den arren. Bideratzaileak pareko identitate baliozkoa duen sukurtsal bat ez litzateke automatikoki irakurri behar eraikin horretako mahaigain guztiak baimenduta balego bezala.

Hirugarrenik, nola lotzen zaion konexioa

Client VPN VPC azpisare-elkarteekin edo onartutako Transit Gateway zuzeneko atxikipenarekin lotzen da. Site-to-Site VPN AWS VPN helburu batera lotzen da, normalean atebide pribatu birtual batera edo Transit Gateway batera. Client VPN-ren arkitektura-gidak Transit Gateway aukera dokumentatzen du, eta haren existentziak ez du eramangarri-saio bat sukurtsal-atebide bihurtzen ez eta goian deskribatutako bezeroaren autentifikazioa eta baimena kentzen.

Egiaztatu zure kontuak eta eskualdeak benetan onartzen duen atxikipena, haren inguruan ibilbideak diseinatu aurretik, eta gero egiaztatu atxikipen horren jabea nor den. Dokumentazioan badagoen baina konfiguratu ezin duzun sare batean dagoen aukera ez da aukera bat.

Laugarrenik, zein bideratze eta politika datozen harekin

Client VPN-k bezero-konexioen kudeaketa eta baimen-arauak ekartzen ditu baimendutako helmuga-sareetarako. Konektatutako erabiltzaileak oraindik amaiera-punturako aurreikusitako ibilbidea, hura baimentzen duen baimen-araua eta baliabideak berak eskatzen duen sarbidea behar ditu. Site-to-Site VPN bezero-atebide batek ordezkatutako sareen artean bideratzen da, onartutako ibilbide estatikoak edo BGP erabiliz diseinuaren arabera, beraz sukurtsal-bideratzailearen atzean dauden makina indibidualek ez dute bakoitzak bezero-hasi saioa behar.

Ez ondorioztatu kategoriaren portaera ez-onartua inolako norabidetan. Urruneko sarbideko VPNek ez dira unibertsalki gaitasunik gabeak itzultze-trafikoa eramateko edo atebide-antolamenduak onartzeko, eta IPsec ez da automatikoki NATek blokeatzen — AWSek NAT zeharkatzea eta bezero-atebidearen baldintzak dokumentatzen ditu, eta onartutako atebide-konfigurazioa da benetako muga. Egiaztatu zure amaiera-puntuaren murrizketak bezeroen norabidean hasten diren konexioak eskatu aurretik edo saio baten atzean LAN bat birbidali aurretik. Kontu bera aplikatzen zaie helbide-familiei: IPv4 gainean lan egiten duen amaiera-puntu batek ez du IPv6 bidea esan nahi, beraz berretsi zure bezeroak edo atebideak benetan negoziatuko duen familia.

Site-to-Site VPN-k bi tunel ematen dizkizu konexio bakoitzeko, eta erredundantzia hori diseinu-zeregin bat da, ezin duzun funtzio bat suposatu. Bezero-atebidearen eragiketa, ibilbide-failoverra eta proben estaldura guztiak planifikatu behar dira; eramangarri-saio bat VPN zerbitzari abstraktu batekin konparatzeak ez du ezer frogatzen bietako bati buruz.

Bi diseinuak bat egiten duten tokia

Zerbitzuak ez dira baztertzaileak, eta ohiko ekoizpen-formak biak erabiltzen ditu: langileak Client VPN-n, sukurtsal-sareak Site-to-Site-n, hitz egin behar duten helmugen artean ibilbide esplizituekin eta sarbide-politikarekin. Taula lau egiaztapenen laburpena da, ez haiek egiteko ordezkoa.

Bi produktuetako batek ere ez du ordezkatzen duen gauza bat: enkriptatze-baldintza VPN-ren amaiera-puntutik haratago doan aplikazio baterako TLS. Zure betetze-eremua aplikazioan amaitzen bada, tunela garraioa da eta ziurtagiria oraindik kontrola da.

Idatzi lau erantzunak diseinuaren berrikuspenaren aurretik, bakoitza lerro batean. Bi ados ez daudenean — esate baterako, erabiltzaileak autentifikatutako bezero-diseinu bat sukurtsal tamainako bideratze-baldintzarekin — desadostasun hori da aurkikuntza, eta gaur egun ikustea merkeagoa da trantsizioan ikustea baino.