AWS Client VPN או Site-to-Site: בדקו מי פותח את החיבור
Client VPN מאמת התקן או משתמש; Site-to-Site מחבר שער ל-AWS. ארבע בדיקות קובעות איזה מהשניים המחשב הנייד או הסניף שלכם באמת צריך.
ארבע בדיקות מכריעות בכך, ואף אחת מהן אינה שם הפרוטוקול. מי פותח את החיבור, מה AWS מאמת, כיצד החיבור מתחבר לרשת שלכם, ואיזה ניתוב ומדיניות באים איתו. ענו על אלה לפי הסדר והבחירה במוצר בדרך כלל נעשית מאליה; ענו עליהן אחרי שכבר קניתם עיצוב ותמצאו את עצמכם מגינים על מנהרה שפותרת את החצי הלא נכון של הבעיה. אף אחת מהארבע לא מבקשת מכם לבחור צופן, ולכן עיצוב שמתחיל בפרוטוקול הוא בדרך כלל סימן שהדרישות מעולם לא נכתבו.
הריצו כל בדיקה מול נקודת הקצה, הלקוח ומשפחת הכתובות שבאמת מתכננים להשתמש בהם, ולא מול הקטגוריה. מוצרי VPN מנוהלים שונים מאבני הבניין OpenVPN ו-IPsec שהם דומים להם.
ראשית, מי פותח את החיבור
אם הדבר שזקוק לגישה הוא מחשב נייד, טלפון או עמדת העבודה של מנהל אחד, החיבור מתחיל במכשיר מרוחק והעיצוב הוא גישת לקוח מרחוק. אם הדבר שזקוק לגישה הוא סניף מלא במכונות מאחורי נתב אחד, החיבור מתחיל בנתב הזה והעיצוב הוא שער-אל-שער. זו הבדיקה שמכריעה את רוב המקרים, והיא זו שאנשים מדלגים עליה כשמצגת של ספק כבר מיסגרה את הדיון סביב צפנים.
עצרו כאן אם אינכם יכולים לנקוב בשם הרכיב שמתחיל. עיצוב שמנסה לשרת את שני המקרים במנהרה אחת מסתיים בדרך כלל בהפעלת לקוח שמעמידה פנים שהיא שער.
שנית, מה AWS מאמת
ב-Client VPN, AWS מאמת את זהות הלקוח או המשתמש שהוגדרה: תעודות, ספרייה או זהות מאוחדת, בהתאם להגדרה. ב-Site-to-Site VPN, AWS מאמת את זהות העמית של השער. ההבדל הזה אינו קוסמטי. מודל אחד מתרחב על ידי הוספת משתמשים ושלילת האישורים שלהם; האחר מתרחב על ידי אמון בכל מה שעומד מאחורי שער אחד.
אימות השער אינו מאמת כל עובד או יישום שמאחוריו, לכן שמרו על זהויות יישומים ועל גישה ברמת המשאב גם כשהמנהרה עצמה נחשבת מהימנה. סניף שהנתב שלו מחזיק בזהות עמית תקפה לא אמור להיקרא אוטומטית כאילו כל שולחן בבניין הזה מורשה.
שלישית, כיצד החיבור מתחבר
Client VPN מתחבר דרך שיוכי תת-רשת של VPC או חיבור ישיר נתמך ל-Transit Gateway. Site-to-Site VPN מתחבר ליעד AWS VPN, לרוב שער פרטי וירטואלי או Transit Gateway. מדריך הארכיטקטורה של Client VPN מתעד את אפשרות Transit Gateway, וקיומה אינו הופך הפעלת מחשב נייד לשער סניף ואינו מסיר את אימות הלקוח וההרשאה שתוארו לעיל.
בדקו את החיבור שהחשבון והאזור שלכם באמת תומכים בו לפני שאתם מתכננים נתיבים סביבו, ואחר כך בדקו למי שייך החיבור הזה. אפשרות שקיימת בתיעוד אך יושבת ברשת שאינכם יכולים להגדיר אינה אפשרות.
רביעית, איזה ניתוב ומדיניות באים איתו
Client VPN מביא ניהול חיבורי לקוח וכללי הרשאה לרשתות היעד שאתם מתירים. משתמש מחובר עדיין זקוק לנתיב המיועד לנקודת הקצה, לכלל הרשאה שמתיר אותו, ולגישה שהמשאב עצמו דורש. Site-to-Site VPN מנתב בין רשתות המיוצגות על ידי שער לקוח, באמצעות נתיבים סטטיים נתמכים או BGP בהתאם לעיצוב, כך שמכונות בודדות מאחורי נתב הסניף אינן זקוקות כל אחת להתחברות לקוח.
אל תסיקו התנהגות לא נתמכת מהקטגוריה בשום כיוון. VPN לגישה מרחוק אינן חסרות יכולת באופן גורף לשאת תעבורת חזור או לתמוך בסידורי שער, ו-IPsec אינו נחסם אוטומטית על ידי NAT — AWS מתעד מעבר NAT ודרישות שער לקוח, וההגבלה האמיתית היא תצורת השער הנתמכת. בדקו את המגבלות של נקודת הקצה שלכם לפני שאתם דורשים חיבורים שמתחילים כלפי לקוחות או מעבירים LAN מאחורי הפעלה אחת. אותה זהירות חלה על משפחות כתובות: נקודת קצה שעובדת מעל IPv4 אינה מרמזת על נתיב IPv6, לכן אשרו את המשפחה שהלקוח או השער שלכם באמת ינהלו משא ומתן עליה.
Site-to-Site VPN נותן לכם שתי מנהרות לכל חיבור, והעודפות הזו היא משימת עיצוב ולא תכונה שאפשר להניח. תפעול שער הלקוח, מעבר נתיבים בעת כשל וכיסוי בדיקות — כולם חייבים להיות מתוכננים; השוואה של הפעלת מחשב נייד אחת לשרת VPN מופשט אינה מוכיחה דבר על אף אחד מהם.
היכן שני העיצובים נפגשים
השירותים אינם בלעדיים, והצורה הייצורית הנפוצה משתמשת בשניהם: עובדים ב-Client VPN, רשתות סניפים ב-Site-to-Site, עם נתיבים מפורשים ומדיניות גישה בין היעדים שחייבים לדבר. הטבלה היא תמצית של ארבע הבדיקות, לא תחליף לביצוען.
| Question | AWS Client VPN | AWS Site-to-Site VPN |
|---|---|---|
| Who establishes it? | A client on a remote device | A customer gateway device or appliance |
| What is authenticated? | The client or user identity | The gateway peer identity |
| How does it attach? | VPC subnet association or Transit Gateway | Virtual private gateway or Transit Gateway |
| What carries the path? | An OpenVPN-based client tunnel | IPsec tunnels to AWS endpoints |
דבר אחד שאף אחד מהשניים אינו מחליף: TLS ליישום שדרישת ההצפנה שלו חורגת מנקודת הקצה של ה-VPN. אם היקף הציות שלכם מסתיים ביישום, המנהרה היא תעבורה והתעודה היא עדיין הבקרה.
כתבו את ארבע התשובות לפני סקירת העיצוב, שורה לכל אחת. כששתיים מהן סותרות זו את זו — נניח, עיצוב לקוח מאומת משתמש עם דרישת ניתוב בגודל סניף — הסתירה הזו היא הממצא, וזול יותר לראות אותה עכשיו מאשר בעת המעבר.