AWS Client VPN ou Site-to-Site : vérifiez qui ouvre la connexion

Quatre vérifications tranchent la question, et aucune d'elles n'est le nom du protocole. Qui ouvre la connexion, ce qu'AWS authentifie, comment la connexion se rattache à votre réseau, et quels routage et politique l'accompagnent. Répondez-y dans l'ordre et le choix du produit se fait généralement tout seul ; répondez-y après avoir acheté une conception et vous défendrez un tunnel qui résout la mauvaise moitié du problème. Aucune des quatre ne vous demande de choisir un chiffrement, ce qui explique qu'une conception qui commence par le protocole soit généralement le signe que les exigences n'ont jamais été écrites.

Menez chaque vérification sur le point de terminaison, le client et la famille d'adresses que vous comptez réellement utiliser, pas sur la catégorie. Les produits VPN managés diffèrent des briques OpenVPN et IPsec auxquelles ils ressemblent.

D'abord, qui ouvre la connexion

Si ce qui a besoin d'accès est un ordinateur portable, un téléphone ou la station de travail d'un seul administrateur, la connexion part d'un appareil distant et la conception relève de l'accès client distant. Si ce qui a besoin d'accès est un site plein de machines derrière un seul routeur, la connexion part de ce routeur et la conception est passerelle à passerelle. C'est la vérification qui règle la plupart des cas, et c'est celle que l'on saute quand une présentation commerciale a déjà cadré la discussion autour des chiffrements.

Arrêtez-vous ici si vous ne pouvez pas nommer le composant qui initie. Une conception qui tente de servir les deux cas avec un seul tunnel finit généralement par une session cliente qui se fait passer pour une passerelle.

Ensuite, ce qu'AWS authentifie

Avec Client VPN, AWS authentifie l'identité client ou utilisateur configurée : certificats, annuaire ou identité fédérée, selon l'installation. Avec Site-to-Site VPN, AWS authentifie l'identité du pair de la passerelle. Cette différence n'est pas cosmétique. Un modèle évolue en ajoutant des utilisateurs et en révoquant leurs identifiants ; l'autre évolue en faisant confiance à tout ce qui se trouve derrière une seule passerelle.

L'authentification de la passerelle n'authentifie pas chaque salarié ni chaque application derrière elle, alors conservez les identités applicatives et l'accès au niveau des ressources même lorsque le tunnel lui-même est de confiance. Un site dont le routeur possède une identité de pair valide ne doit pas se lire automatiquement comme si chaque poste de ce bâtiment était autorisé.

Troisièmement, comment la connexion se rattache

Client VPN se rattache via des associations de sous-réseau VPC ou un raccordement direct à Transit Gateway pris en charge. Site-to-Site VPN se rattache à une cible AWS VPN, le plus souvent une passerelle privée virtuelle ou une Transit Gateway. Le guide d'architecture Client VPN documente l'option Transit Gateway, et son existence ne transforme pas une session d'ordinateur portable en passerelle de site ni ne supprime l'authentification et l'autorisation du client décrites plus haut.

Vérifiez le raccordement que votre compte et votre région prennent réellement en charge avant de concevoir des routes autour de lui, puis vérifiez à qui appartient ce raccordement. Une option qui existe dans la documentation mais qui se trouve sur un réseau que vous ne pouvez pas configurer n'est pas une option.

Quatrièmement, quels routage et politique l'accompagnent

Client VPN apporte la gestion des connexions clientes et des règles d'autorisation pour les réseaux de destination que vous autorisez. Un utilisateur connecté a toujours besoin de la route prévue vers le point de terminaison, d'une règle d'autorisation qui l'autorise, et de l'accès qu'exige la ressource elle-même. Site-to-Site VPN route entre des réseaux représentés par une passerelle client, à l'aide de routes statiques prises en charge ou de BGP selon la conception, si bien que les machines individuelles derrière le routeur du site n'ont pas chacune besoin d'un identifiant client.

N'inférez pas un comportement non pris en charge à partir de la catégorie, dans un sens comme dans l'autre. Les VPN d'accès distant ne sont pas universellement incapables de transporter du trafic de retour ni de prendre en charge des montages de passerelle, et IPsec n'est pas automatiquement bloqué par NAT — AWS documente la traversée NAT et les exigences de passerelle client, et la configuration de passerelle prise en charge est la vraie contrainte. Vérifiez les restrictions de votre point de terminaison avant d'exiger des connexions initiées vers les clients ou de transmettre un LAN derrière une session. La même prudence vaut pour les familles d'adresses : un point de terminaison qui fonctionne en IPv4 n'implique pas un chemin IPv6, alors confirmez la famille que votre client ou votre passerelle négociera réellement.

Site-to-Site VPN vous donne deux tunnels par connexion, et cette redondance est une tâche de conception plutôt qu'une fonction que vous pouvez supposer acquise. L'exploitation de la passerelle client, le basculement de routes et la couverture des tests doivent tous être planifiés ; comparer une session d'ordinateur portable à un serveur VPN abstrait ne prouve rien sur l'un ni sur l'autre.

Où les deux conceptions se rejoignent

Les services ne s'excluent pas, et la forme de production courante utilise les deux : les salariés sur Client VPN, les réseaux de site sur Site-to-Site, avec des routes explicites et une politique d'accès entre les destinations qui doivent communiquer. Le tableau récapitule les quatre vérifications, il ne les remplace pas.

Une chose qu'aucun des deux produits ne remplace : TLS vers une application dont l'exigence de chiffrement dépasse le point de terminaison VPN. Si votre périmètre de conformité s'arrête à l'application, le tunnel est du transport et le certificat reste le contrôle.

Écrivez les quatre réponses avant la revue de conception, une ligne chacune. Quand deux d'entre elles se contredisent — par exemple une conception cliente authentifiée par utilisateur avec un besoin de routage de la taille d'un site —, cette contradiction est le constat, et il est moins coûteux de la voir maintenant que pendant la bascule.