AWS Client VPN ili Site-to-Site: provjerite tko uspostavlja vezu
Client VPN autentificira uređaj ili korisnika; Site-to-Site spaja pristupnik na AWS. Četiri provjere određuju što vaš laptop ili podružnica doista trebaju.
O tome odlučuju četiri provjere i nijedna od njih nije naziv protokola. Tko otvara vezu, što AWS autentificira, kako se veza priključuje na vašu mrežu i koje usmjeravanje i pravila dolaze s njom. Odgovorite na to redom i izbor proizvoda obično se sam nameće; odgovorite nakon što ste već kupili dizajn i branit ćete tunel koji rješava pogrešnu polovicu problema. Nijedna od četiri ne traži da odaberete šifru, zato je dizajn koji počinje protokolom obično znak da zahtjevi nikada nisu zapisani.
Svaku provjeru provedite prema stvarnom endpointu, klijentu i obitelji adresa koje namjeravate koristiti, a ne prema kategoriji. Upravljani VPN proizvodi razlikuju se od OpenVPN i IPsec gradivnih blokova na koje nalikuju.
Prvo, tko otvara vezu
Ako je ono čemu treba pristup laptop, telefon ili radna stanica jednog administratora, veza počinje na udaljenom uređaju i dizajn je udaljeni klijentski pristup. Ako je ono čemu treba pristup podružnica puna strojeva iza jednog usmjerivača, veza počinje na tom usmjerivaču i dizajn je pristupnik-prema-pristupniku. To je provjera koja rješava većinu slučajeva i upravo je ljudi preskaču kada je prezentacija dobavljača već uokvirila razgovor oko šifri.
Zaustavite se ovdje ako ne možete imenovati komponentu koja inicira. Dizajn koji pokušava poslužiti oba slučaja jednim tunelom obično završi klijentskom sesijom koja se pretvara da je pristupnik.
Drugo, što AWS autentificira
S Client VPN-om AWS autentificira konfigurirani klijentski ili korisnički identitet: certifikate, imenik ili federirani identitet, ovisno o postavkama. S Site-to-Site VPN-om AWS autentificira identitet pristupnikovog partnera. Ta razlika nije kozmetička. Jedan model skalira dodavanjem korisnika i ukidanjem njihovih vjerodajnica; drugi skalira vjerovanjem u sve što stoji iza jednog pristupnika.
Autentifikacija pristupnika ne autentificira svakog zaposlenika ni aplikaciju iza njega, zato zadržite identitete aplikacija i pristup na razini resursa čak i kad je sam tunel pouzdan. Podružnica čiji usmjerivač ima valjan identitet partnera ne smije se automatski čitati kao da je svaki stol u toj zgradi ovlašten.
Treće, kako se veza priključuje
Client VPN priključuje se kroz asocijacije podmreža u VPC-u ili podržani izravni priključak na Transit Gateway. Site-to-Site VPN priključuje se na cilj AWS VPN-a, najčešće virtualni privatni pristupnik ili Transit Gateway. Vodič kroz arhitekturu Client VPN-a dokumentira opciju Transit Gateway i njezino postojanje ne pretvara sesiju laptopa u podružnički pristupnik niti uklanja gore opisane autentifikaciju i autorizaciju klijenta.
Provjerite priključak koji vaš račun i regija stvarno podržavaju prije nego što oko njega projektirate rute, pa provjerite kome taj priključak pripada. Opcija koja postoji u dokumentaciji ali se nalazi na mreži koju ne možete konfigurirati nije opcija.
Četvrto, koje usmjeravanje i pravila dolaze s njom
Client VPN donosi upravljanje klijentskim vezama i pravila autorizacije za odredišne mreže koje dopuštate. Povezani korisnik i dalje treba predviđenu rutu do endpointa, pravilo autorizacije koje je dopušta i onaj pristup koji sam resurs zahtijeva. Site-to-Site VPN usmjerava između mreža predstavljenih korisničkim pristupnikom, koristeći podržane statičke rute ili BGP ovisno o dizajnu, pa pojedinačni strojevi iza podružničkog usmjerivača ne trebaju svaki svoju klijentsku prijavu.
Ne izvlačite nepodržano ponašanje iz kategorije ni u jednom smjeru. VPN-ovi za udaljeni pristup nisu univerzalno nesposobni prenositi povratni promet ni podržavati pristupničke rasporede, a IPsec nije automatski blokiran NAT-om — AWS dokumentira NAT traversal i zahtjeve za korisnički pristupnik, a stvarno ograničenje je podržana konfiguracija pristupnika. Provjerite ograničenja za svoj endpoint prije nego što zahtijevate veze inicirane prema klijentima ili prosljeđujete LAN iza jedne sesije. Isto vrijedi i za obitelji adresa: endpoint koji radi preko IPv4 ne podrazumijeva IPv6 put, zato potvrdite obitelj koju će vaš klijent ili pristupnik zaista pregovarati.
Site-to-Site VPN daje vam dva tunela po vezi i ta je redundancija projektni zadatak, a ne funkcija koju možete pretpostaviti. Rad korisničkog pristupnika, prebacivanje ruta i pokrivenost testovima sve se mora planirati; usporedba jedne sesije laptopa s apstraktnim VPN poslužiteljem ne dokazuje ništa ni o jednom od njih.
Gdje se dva dizajna susreću
Usluge se ne isključuju i uobičajen proizvodni oblik koristi obje: zaposlenici na Client VPN-u, podružničke mreže na Site-to-Site, s izričitim rutama i pravilima pristupa između odredišta koja moraju razgovarati. Tablica je sažetak četiriju provjera, a ne zamjena za njihovo provođenje.
| Question | AWS Client VPN | AWS Site-to-Site VPN |
|---|---|---|
| Who establishes it? | A client on a remote device | A customer gateway device or appliance |
| What is authenticated? | The client or user identity | The gateway peer identity |
| How does it attach? | VPC subnet association or Transit Gateway | Virtual private gateway or Transit Gateway |
| What carries the path? | An OpenVPN-based client tunnel | IPsec tunnels to AWS endpoints |
Jedno što nijedan od dva proizvoda ne zamjenjuje: TLS prema aplikaciji čiji zahtjev za enkripcijom seže dalje od VPN endpointa. Ako vaš opseg usklađenosti završava na aplikaciji, tunel je transport a certifikat je i dalje kontrola.
Zapišite četiri odgovora prije pregleda dizajna, po jedan redak svaki. Kada se dva od njih ne slažu — recimo, klijentski dizajn s autentifikacijom korisnika i zahtjev za usmjeravanjem veličine podružnice — to neslaganje je nalaz, i jeftinije ga je vidjeti sada nego tijekom prelaska.