EC2 Windows: VPN-asiakas, VPN-palvelin vai AWS-yhdyskäytävä?
Windows EC2 -instanssi voi ajaa VPN-ohjelmistoa, mutta asiakas, itse hallittu palvelin ja AWS-yhdyskäytävä ovat eri rooleja eri omistajilla.
Tiimi tarvitsee VPN-yhteyden Windows EC2 -instanssilla ajettavalle sovellukselle, löytää yhteensopivan asiakasohjelmiston, asentaa sen ja kysyy sitten, miksi muu VPC ei voi käyttää sitä. Asennus onnistui; roolia ei koskaan päätetty. Vieraan sisällä ajettava ohjelmisto voi olla asiakas, joka liittyy jonkun toisen verkkoon, palvelin, joka hyväksyy muita asiakkaita, tai ei kumpikaan AWS:n hallitsemista VPN-tuotteista, ja jokainen rooli jättää sinulle erilaista työtä.
Oire on yleensä väärä rooli
Yleinen oire on toimiva tunneli, joka ratkaisee väärän ongelman. Virtuaalikoneen asiakas antaa sille lähtevän reitin; se ei anna kannettavallesi, toimistollesi tai toiselle aliverkolle reittiä sisään. Virtuaalikoneen palvelin antaa muille reitin sisään, mutta nyt omistat kuuntelijan, todennuksen ja edelleenlähetyksen.
Hallitut palvelut siirtävät palvelun ylläpidon AWS:lle ja jättävät suunnittelun sinulle. Site-to-Site VPN yhdistää verkkoja asiakasyhdyskäytävän ja AWS-yhdyskäytävän kautta, ja Client VPN antaa etälaitteille hallitun päätepisteen. Molemmissa tapauksissa reitit, valtuutussäännöt ja identiteetin lähde ovat sinun kokoonpanosi, eikä kumpikaan tuote asenna yleiskäyttöistä asiakasta Windows-vieraan sisään.
Neljä muotoa on mahdollista, ja taulukko erottaa ne sen mukaan, mikä yhdistyy mihinkin ja kuka kantaa operatiivisen taakan.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Lue rivi, älä tuotteen nimeä: sama Windows-instanssi voi olla kahdessa eri rivissä riippuen siitä, mikä ohjelmisto siinä toimii.
Asiakas virtuaalikoneessa: kone liittyy verkkoon
Lähtevän asiakkaan on tarkistettava Windows-versio, arkkitehtuuri ja ajurivaatimukset ennen kuin mitään asennetaan. Asiakas muuttaa instanssin reittejä ja DNS:ää, mikä voi vaikuttaa siellä jo toimiviin palveluihin, mukaan lukien etähallintaan käyttämäsi polku. Kirjaa sovittimen nimi ja käyttöliittymän metriikka, jonka asiakas asettaa, koska uusi käyttöliittymä voi saada etusijan olemassa olevaan nähden. Jos instanssia hallitaan istunnonhallinnan kautta SSH:n tai RDP:n sijaan, varmista, että tämä polku toimii edelleen asiakkaan yhdistämisen jälkeen.
Päätä, mitä liikennettä asiakkaan pitäisi kuljettaa, ennen kuin otat sen käyttöön. Täysi tunneli voi kaapata hallintasession ja lukita sinut ulos, ja jaettu tunneli voi jättää instanssin saavuttamaan yksityisverkon, kun taas sen muu liikenne kulkee toista kautta. Testaa toisen hallintapolun ollessa saatavilla ja kirjaa reitit, jotka asiakas asentaa, jotta myöhempi muutos on selitettävissä.
Palvelin virtuaalikoneessa: muut asiakkaat liittyvät siihen
Itse hallitussa palvelimessa omistat kuuntelijan, sertifikaatin tai avainmateriaalin, käyttäjätietokannan ja edelleenlähetyssäännöt. Jos palvelin välittää liikennettä muille asiakkaille, instanssista tulee reititin, ja se vaatii vierastason edelleenlähetyksen sekä reittien ja suojausryhmien muutokset AWS-tasolla.
Testaa kuuntelija vieraasta ja uudelleen toisesta aliverkosta, testaa sitten isäntä, jota varten instanssi välittää liikennettä. Terve paikallinen palvelu ei todista mitään välitetystä polusta, joten kirjaa molemmat tulokset muutosmerkintään.
Hallitut yhdyskäytävät pitävät palvelun, eivät käyttöoikeussuunnitelmaasi
AWS Site-to-Site VPN dokumentoi asiakasyhdyskäytävän ja AWS-yhdyskäytävän tunneliroolit, eikä kyseisen yhteyden ostaminen korvaa jokaista etäkäyttösuunnitelmaa. Client VPN dokumentoi hallitun päätepisteen asiakaspersoonilla, kun taas valtuutussäännöt ja kohdereitit pysyvät sinun. AWS pitää päätepisteen ja sen sertifikaatit käynnissä; kuka saa saavuttaa minkä sovelluksen, on edelleen valtuutussääntö, jonka kirjoitat ja jota ylläpidät.
Valitse tuotteiden välillä viidellä akselilla: mikä rooli kullakin on, mitä protokollia se hyväksyy, mitä identiteetin lähdettä se odottaa, miten liikennettä välitetään ja miten saatavuus toimitetaan. Jätä huomiotta mikä tahansa yksittäinen läpäisykykyluku, joka lainataan foorumiketjussa, koska julkaistu kapasiteetti muuttuu palvelun mukana. Äläkä oleta, että hallittu tunnelipari muuttaa mielivaltaisen vierasasiakkaan käyttäytymistä.
Valitse rooli ennen tuotetta
Kirjoita yksi lause, joka nimeää suunnan: tämä kone liittyy verkkoon, tämä kone hyväksyy asiakkaita tai AWS-yhdyskäytävä yhdistää määritellyt verkot.
Tuo lause ratkaisee tuotteiden lyhyen listan, ohjelmiston omistajan ja vikatilat, joita korjaat. Jos vaatimus on, että etäkäyttäjät saavuttavat sovelluksen, sovelluksen virtuaalikoneeseen asennettu asiakas on väärä muoto. Jos vaatimus on, että yksi kone saavuttaa kumppaniverkkoon, hallittu sivusto-sivusto-yhdyskäytävä on enemmän koneistoa kuin tehtävä tarvitsee. Molemmat vastaukset ovat oikeutettuja; vain yksi vastaa lausetta, jonka kirjoitit.