AWS Client VPN of Site-to-Site: kontrolearje wa't de ferbining iepenet
Client VPN autentisearret in apparaat of brûker; Site-to-Site ferbynt in gateway oan AWS. Fjouwer kontrôles bepale hokker jo laptop of filiaal echt nedich hat.
Fjouwer kontrôles bepale dit, en gjin ien fan harren is de namme fan it protokol. Wa't de ferbining iepenet, wat AWS autentisearret, hoe't de ferbining oan jo netwurk fêstmakket, en hokker rûteleas en belied der mei komme. Beäntwurdzje dizze yn folchoarder en de produktkar docht himsels meastal; beäntwurdzje se nei't jo al in ûntwerp kocht hawwe en jo ferdigenje in tunnel dy't de ferkearde helte fan it probleem oplost. Gjin ien fan 'e fjouwer freget jo in sifer te kiezen, en dêrom is in ûntwerp dat mei it protokol begjint meastal in teken dat de easken nea opskreaun binne.
Fier elke kontrôle út tsjin it werklike einpunt, de kliïnt en de adresfamylje dy't jo fan plan binne te brûken, net tsjin de kategory. Behearde VPN-produkten ferskille fan 'e OpenVPN- en IPsec-boublokken dêr't se op lykje.
Earst, wa't de ferbining iepenet
As dat wat tagong nedich hat in laptop, in tillefoan of it wurkstasjon fan ien behearder is, begjint de ferbining by in opôfstân-apparaat en is it ûntwerp opôfstân-kliïnttagong. As dat wat tagong nedich hat in filiaal fol masines efter ien router is, begjint de ferbining by dy router en is it ûntwerp gateway-oant-gateway. Dit is de kontrôle dy't de measte gefallen beslist, en it is dy't minsken oerslaan as in presintaasje fan in leveransier it petear al om sifers hinne ramme hat.
Stop hjir as jo it ûnderdiel dat begjint net beneame kinne. In ûntwerp dat besiket beide gefallen mei ien tunnel te tsjinjen, einiget meastal mei in kliïntsesje dy't him foardocht as in gateway.
Twadde, wat AWS autentisearret
Mei Client VPN autentisearret AWS de konfigurearre kliïnt- of brûkersidentiteit: sertifikaten, in gids of in federearre identiteit, ôfhinklik fan 'e opset. Mei Site-to-Site VPN autentisearret AWS de identiteit fan 'e gateway-pear. Dat ferskil is net kosmetysk. Ien model skalet troch brûkers ta te foegjen en harren ynloggegevens yn te lûken; it oare skalet troch te fertrouwen op alles wat efter ien gateway stiet.
Gateway-autentikaasje autentisearret net elke meiwurker of applikaasje der efter, dus hâld applikaasje-identiteiten en tagong op resursenivo yn stân, sels as de tunnel sels fertroud is. In filiaal waans router in jildige pear-identiteit hat, moat net automatysk lêzen wurde as soe elk buro yn dat gebou foech hawwe.
Tredde, hoe't de ferbining fêstmakket
Client VPN makket fêst fia VPC-subnet-assosjaasjes of in stipe direkte Transit Gateway-oansluting. Site-to-Site VPN makket fêst oan in AWS VPN-doel, meastentiids in firtuele partikuliere gateway of in Transit Gateway. De Client VPN-arsjitektuerhantlieding dokumintearret de Transit Gateway-opsje, en it bestean dêrfan makket fan in laptopsesje gjin filiaalgateway en hellet de hjirboppe beskreaune kliïntautentikaasje en -autorisearring net fuort.
Kontrolearje de oansluting dy't jo account en regio echt stypje, foardat jo rûtes der om hinne ûntwerpe, en kontrolearje dan wa't dy oansluting hat. In opsje dy't yn 'e dokumintaasje bestiet mar op in netwurk sit dat jo net konfigurearje kinne, is gjin opsje.
Fjirde, hokker rûteleas en belied der mei komme
Client VPN bringt kliïntferbiningbehear en autorisaasjeregels foar de bestimmingnetwurken dy't jo tastean. In ferbûne brûker hat noch hieltyd de bedoelde rûte nei it einpunt nedich, in autorisaasjeregel dy't dy tastiet, en de tagong dy't de resurs sels freget. Site-to-Site VPN rûtelet tusken netwurken dy't troch in klantgateway fertsjintwurdige wurde, mei stipe statyske rûtes of BGP ôfhinklik fan it ûntwerp, sadat yndividuele masines efter de filiaalrouter net elk in kliïntynlogge nedich hawwe.
Lied gjin net-stipe gedrach fan 'e kategory ôf, yn gjin inkelde rjochting. Opôfstân-tagong-VPN's binne net algemien net by steat om weromferkear te dragen of gateway-opstellings te stypjen, en IPsec wurdt net automatysk troch NAT blokkearre — AWS dokumintearret NAT-trochgong en klantgateway-easken, en de stipe gateway-konfiguraasje is de echte beheining. Kontrolearje de beheiningen foar jo einpunt foardat jo ferbiningen easkje dy't nei kliïnten ta begjinne of in LAN efter ien sesje trochstjoere. Deselde foarsichtigens jildt foar adresfamyljes: in einpunt dat oer IPv4 wurket betsjut gjin IPv6-paad, dus befêstigje de famylje dy't jo kliïnt of gateway echt ûnderhannelje sil.
Site-to-Site VPN jout jo twa tunnels per ferbining, en dy oerfloedigens is in ûntwerptaak ynstee fan in funksje dy't jo oannimme kinne. Klantgateway-operaasje, rûte-oerskeakeling en testdekking moatte allegearre plend wurde; ien laptopsesje fergelykje mei in abstrakte VPN-tsjinner bewist neat oer ien fan beide.
Dêr't de twa ûntwerpen elkoar treffe
De tsjinsten slute elkoar net út, en de gewoane produksjefoarm brûkt beide: meiwurkers op Client VPN, filiaalnetwurken op Site-to-Site, mei eksplisite rûtes en tagongbelied tusken de bestimmingen dy't prate moatte. De tabel is in gearfetting fan 'e fjouwer kontrôles, gjin ferfanging foar it dwaan fan se.
| Question | AWS Client VPN | AWS Site-to-Site VPN |
|---|---|---|
| Who establishes it? | A client on a remote device | A customer gateway device or appliance |
| What is authenticated? | The client or user identity | The gateway peer identity |
| How does it attach? | VPC subnet association or Transit Gateway | Virtual private gateway or Transit Gateway |
| What carries the path? | An OpenVPN-based client tunnel | IPsec tunnels to AWS endpoints |
Ien ding dat gjin fan beide produkten ferfangt: TLS nei in applikaasje waans fersiferingseask fierder rikt as it VPN-einpunt. As jo foldwaansbereich by de applikaasje einiget, is de tunnel ferfier en is it sertifikaat noch hieltyd de kontrôle.
Skriuw de fjouwer antwurden op foardat de ûntwerpfriem, ien regel elk. As twa fan harren tsjin elkoar yn geane — sis, in brûker-autentisearre kliïntûntwerp mei in rûtebehoefte fan filiaalgrutte — is dat tsjinstelling de befinning, en it is goedkeaper om it no te sjen as by de oerstap.