EC2 Windows: VPN-klant, VPN-tsjinner of AWS-gateway?
In Windows EC2-eksimplaar kin VPN-software draaie, mar in klant, in sels beheard tsjinner en in AWS-gateway binne ferskillende rollen mei ferskillende eigners.
In team hat VPN-ferbining nedich foar in app dy't op in Windows EC2-eksimplaar draait, fynt kompatibele klantsoftware, ynstallearret it en freget dan wêrom't de rest fan 'e VPC it net brûke kin. De ynstallaasje wurke; de rol waard nea besletten. Software dy't binnen in gast draait, kin in klant wêze dy't by it netwurk fan in oar oanslút, in tsjinner dy't oare klanten akseptearret, of gjin fan 'e troch AWS behearde VPN-produkten, en elke rol lit oar wurk by dy.
It symptoom is meastentiids de ferkearde rol
It gewoane symptoom is in wurkjende tunnel dy't it ferkearde probleem oplost. In klant yn 'e VM jout dy VM in útgeande paad; it jout dyn laptop, dyn kantoar of in oar subnet gjin wei nei binnen. In tsjinner yn 'e VM jout oaren in wei nei binnen, mar no besitsto de listener, de autentikaasje en it trochstjoeren.
Behearde tsjinsten ferpleatse de tsjinstoperaasje nei AWS en litte it ûntwerp by dy. Site-to-Site VPN ferbynt netwurken fia in klantgateway en in AWS-gateway, en Client VPN jout ôfstienne apparaten in beheard einpunt. Yn beide gefallen binne de rûtes, de autorisaasjeregels en de identiteitsboarne dyn konfiguraasje, en gjin fan 'e produkten ynstallearret in algemien klant binnen in Windows-gast.
Fjouwer foarmen binne mooglik, en de tabel skiedt se nei wat mei wat ferbynt en wa't de operasjonele lêst draacht.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Lês de rige, net de produktnamme: itselde Windows-eksimplaar kin yn twa ferskillende rigen sitte ôfhinklik fan hokker software deryn draait.
Klant binnen de VM: de VM slút oan by in netwurk
In útgeande klant moat de Windows-bou, de arsjitektuer en de driver-easken kontrolearre hawwe foardat der eat ynstallearre wurdt. De klant sil rûtes en DNS op it eksimplaar feroarje, wat tsjinsten beynfloedzje kin dy't dêr al draaie, ynklusyf it paad datst brûkst foar ôfstânbehear. Skriuw de namme fan 'e adapter en de interfacemetrik op dy't de klant ynstelt, want de nije interface kin foarrang krije boppe de besteande. As it eksimplaar fia in sesjebehearder ynstee fan SSH of RDP beheard wurdt, befêstigje dan dat dat paad noch wurket neidat de klant ferbynt.
Beslis hokker ferkear de klant drage moat foardatst it ynskeakelst. In folsleine tunnel kin de beheersesje fange en dy bûten slute, en in splitst tunnel kin it eksimplaar it partikuliere netwurk berikke litte wylst it oare ferkear in oare útgong nimt. Test mei in twadde behearpaad beskikber, en skriuw de rûtes op dy't de klant ynstallearret sadat in lettere feroaring ferklearre wurde kin.
Tsjinner binnen de VM: oare klanten slute by him oan
Foar in sels beheard tsjinner besitsto de listener, it sertifikaat of kaaimateriaal, de brûkersdatabase en de trochstjoerregels. As de tsjinner ferkear foar oare klanten trochstjoert, wurdt it eksimplaar in router, en dat freget trochstjoeren op gastnivo plus feroarings oan rûtes en feiligensgroepen op AWS-nivo.
Probearje de listener fan 'e gast en nochris fan in oar subnet, probearje dan in host dêr't it eksimplaar foar trochstjoert. In sûne lokale tsjinst bewiist neat oer it trochstjoerde paad, dus skriuw beide resultaten yn 'e feroaringsnotysje.
Behearde gateways hâlde de tsjinst, net dyn tagongsûntwerp
AWS Site-to-Site VPN dokumintearret de tunnelrollen fan klantgateway en AWS-gateway, en it keapjen fan dy ferbining ferfangt net elk ôfstânstagongsûntwerp. Client VPN dokumintearret in beheard einpunt mei klantpersoanen, wylst de autorisaasjeregels en doelrûtes dynres bliuwe. AWS hâldt it einpunt en syn sertifikaten oan 'e gong; wa't hokker applikaasje berikke mei, is noch altyd in autorisaasjeregel dy'tst skriuwst en ûnderhâldst.
Kies tusken de produkten op fiif assen: hokker rol elk spilet, hokker protokollen it akseptearret, hokker identiteitsboarne it ferwachtet, hoe't ferkear trochstjoerd wurdt en hoe't beskikberens levere wurdt. Negearje elk inkeld trochfiertal dat yn in forumtried sitearre wurdt, want publisearre kapasiteit beweecht mei de tsjinst. En nim net oan dat in beheard tunnelpear it gedrach fan in willekeurige gastklant feroaret.
Kies de rol foar it produkt
Skriuw ien sin dy't de rjochting neamt: dizze VM slút oan by in netwurk, dizze VM akseptearret klanten, of in AWS-gateway ferbynt definiearre netwurken.
Dy sin beslút de produktkoarte list, de eigner fan 'e software en de flatermodi dy'tst debugge silst. As de eask is dat ôfstienne brûkers in applikaasje berikke, is in klant ynstallearre yn 'e VM fan 'e applikaasje de ferkearde foarm. As de eask is dat ien VM in partner-netwurk berikt, is in beheard site-to-site-gateway mear masjinerie as de taak nedich hat. Beide antwurden binne legitime; mar ien fan harren past by de sin dy'tst skreaun hast.