EC2 Windows: VPN bezeroa, VPN zerbitzaria edo AWS atebidea?
Windows EC2 instantzia batek VPN softwarea exekuta dezake, baina bezeroa, auto-kudeatutako zerbitzaria eta AWS atebidea rol desberdinak dira, jabe desberdinekin.
Talde batek Windows EC2 instantzia batean exekutatzen den aplikazio baterako VPN konektibitatea behar du, bezero software bateragarria aurkitzen du, instalatzen du eta gero galdetzen du zergatik ezin duen VPCren gainerakoak erabili. Instalazioak funtzionatu zuen; rola ez zen inoiz erabaki. Gonbidatu baten barruan exekutatzen den softwarea beste norbaitek sarean sartzen den bezeroa izan daiteke, beste bezero batzuk onartzen dituen zerbitzaria, edo AWSk kudeatutako VPN produktuetako bat ere ez, eta rol bakoitzak lan desberdina uzten dizu.
Sintoma, normalean, rol okerra da
Ohiko sintoma arazo okerra konpontzen duen tunel bat da. VM barruko bezeroak VM horri irteerako bide bat ematen dio; ez dio zure eramangarriari, zure bulegoari edo beste azpisare bati sartzeko biderik ematen. VM barruko zerbitzariak besteei sartzeko bidea ematen die, baina orain zu zara entzulearen, autentifikazioaren eta birbidaltzearen jabe.
Kudeatutako zerbitzuek zerbitzuaren ustiapena AWStra eramaten dute eta diseinua zuri uzten diote. Site-to-Site VPNk sareak konektatzen ditu bezeroaren atebide eta AWS atebide baten bidez, eta Client VPNk gailu urrunenei kudeatutako amaierako puntu bat ematen die. Bi kasuetan ibilbideak, baimen-arauak eta identitate-iturria zure konfigurazioa dira, eta produktuetako batek ere ez du helburu orokorreko bezerorik instalatzen Windows gonbidatu baten barruan.
Lau forma dira posible, eta taulak bereizten ditu zer zerkin konektatzen den eta nor arduratzen den karga operatiboaz.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Irakurri errenkada, ez produktuaren izena: Windows instantzia berak bi errenkada desberdinetan egon daiteke, bertan zein software exekutatzen den arabera.
Bezeroa VM barruan: VM sare batera sartzen da
Irteerako bezero batek Windows bertsioa, arkitektura eta kontrolatzaileen baldintzak berrikusi behar ditu ezer instalatu aurretik. Bezeroak ibilbideak eta DNS aldatuko ditu instantzian, eta horrek han jada exekutatzen ari diren zerbitzuei eragin diezaieke, urrutiko administraziorako erabiltzen duzun bidea barne. Idatzi adapterraren izena eta bezeroak ezartzen duen interfaze-metrika, interfaze berriak lehendik dagoenaren aurrean lehentasuna har baitezake. Instantzia saio-kudeatzaile baten bidez kudeatzen bada SSH edo RDPren ordez, egiaztatu bide horrek oraindik funtzionatzen duela bezeroa konektatu ondoren.
Erabaki bezeroak zein trafiko eraman behar duen aktibatu aurretik. Tunel oso batek kudeaketa-saioa harrapa dezake eta kanpoan utz zaitzake, eta tunel zatitu batek instantzia sare pribatura iristen utz dezake, gainerako trafikoak beste irtenbide bat hartzen duen bitartean. Probatu bigarren kudeaketa-bide bat eskuragarri duzula, eta idatzi bezeroak instalatzen dituen ibilbideak, geroagoko aldaketa bat azaldu ahal izateko.
Zerbitzaria VM barruan: beste bezero batzuk hara sartzen dira
Auto-kudeatutako zerbitzari batean, zu zara entzulearen, ziurtagiria edo gako-materialaren, erabiltzaileen datu-basearen eta birbidaltze-arauen jabe. Zerbitzariak beste bezero batzuentzako trafikoa birbidaltzen badu, instantzia bideratzaile bihurtzen da, eta horrek gonbidatu mailako birbidaltzea eta AWSmailako ibilbide eta segurtasun-taldeen aldaketak eskatzen ditu.
Probatu entzulea gonbidatutik eta berriro beste azpisare batetik, gero probatu instantziak birbidaltzen duen ostalari bat. Tokiko zerbitzu osasuntsu batek ez du ezer frogatzen birbidalitako bideari buruz, beraz, idatzi bi emaitzak aldaketa-oharrean.
Kudeatutako atebideek zerbitzua gordetzen dute, ez zure sarbide-diseinua
AWS Site-to-Site VPN dokumentuak bezeroaren atebidearen eta AWS atebidearen tunel-rolak deskribatzen ditu, eta konexio hori erosteak ez du urrutiko sarbide-diseinu guztiak ordezkatzen. Client VPNk bezero-pertsonekin kudeatutako amaierako puntu bat deskribatzen du, baimen-arauak eta helburuko ibilbideak zureak izaten jarraitzen duten bitartean. AWSk amaierako puntua eta haren ziurtagiriak martxan mantentzen ditu; nork zein aplikaziotara irits daitekeen idazten eta mantentzen duzun baimen-arau bat da oraindik.
Aukeratu produktuen artean bost ardatzetan: bakoitzak zein rol betetzen duen, zein protokolo onartzen dituen, zein identitate-iturri espero duen, nola birbidaltzen den trafikoa eta nola ematen den erabilgarritasuna. Baztertu foro-hari batean aipatutako edozein errendimendu-zifra bakarra, argitaratutako edukierak zerbitzuarekin batera aldatzen baita. Eta ez ezazu pentsa kudeatutako tunel-pare batek edozein gonbidatu-bezeroen portaera aldatzen duenik.
Aukeratu rola produktuaren aurretik
Idatzi norabidea izendatzen duen esaldi bat: VM hau sare batera sartzen da, VM honek bezeroak onartzen ditu, edo AWS atebide batek definitutako sareak konektatzen ditu.
Esaldi horrek erabakitzen du produktuen zerrenda laburra, softwarearen jabea eta araztuko dituzun hutsegite-moduak. Baldintza erabiltzaile urrunek aplikazio batera iristea bada, aplikazioaren VMn instalatutako bezeroa forma okerra da. Baldintza VM bat bazkide-sare batera iristea bada, kudeatutako gunez-guneko atebide bat zereginak behar duen baino makineria gehiago da. Bi erantzunak zilegiak dira; horietako batek soilik bat egiten du idatzi duzun esaldiarekin.