EC2 Windows: VPN klijent, VPN poslužitelj ili AWS gateway?
Windows EC2 instanca može pokretati VPN softver, ali klijent, samostalno upravljani poslužitelj i AWS gateway različite su uloge s različitim vlasnicima.
Tim treba VPN povezanost za aplikaciju koja radi na Windows EC2 instanci, pronalazi kompatibilan klijentski softver, instalira ga i zatim pita zašto ga ostatak VPC-a ne može koristiti. Instalacija je uspjela; uloga nikada nije odlučena. Softver koji radi unutar gosta može biti klijent koji se pridružuje tuđoj mreži, poslužitelj koji prihvaća druge klijente ili nijedan od AWS-om upravljanih VPN proizvoda, a svaka uloga ostavlja vam drugačiji posao.
Simptom je obično pogrešna uloga
Uobičajen simptom je tunel koji radi, ali rješava pogrešan problem. Klijent u VM-u daje tom VM-u izlazni put; ne daje vašem prijenosniku, uredu ni drugoj podmreži put prema unutra. Poslužitelj u VM-u daje drugima put prema unutra, ali sada vi posjedujete slušač, autentifikaciju i prosljeđivanje.
Upravljane usluge prenose rad usluge na AWS i ostavljaju dizajn vama. Site-to-Site VPN povezuje mreže kroz korisnički gateway i AWS gateway, a Client VPN daje udaljenim uređajima upravljanu krajnju točku. U oba slučaja rute, pravila autorizacije i izvor identiteta su vaša konfiguracija i nijedan proizvod ne instalira klijenta opće namjene unutar Windows gosta.
Moguća su četiri oblika, a tablica ih razdvaja prema tome što se s čime povezuje i ko nosi operativni teret.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Čitajte redak, a ne naziv proizvoda: ista Windows instanca može stajati u dva različita retka ovisno o tome koji softver u njoj radi.
Klijent unutar VM-a: VM se pridružuje mreži
Izlazni klijent mora provjeriti izdanje Windowsa, arhitekturu i zahtjeve za upravljačke programe prije nego što se bilo što instalira. Klijent će promijeniti rute i DNS na instanci, što može utjecati na usluge koje tamo već rade, uključujući put koji koristite za daljinsku administraciju. Zabilježite naziv adaptera i metriku sučelja koju klijent postavlja jer novo sučelje može dobiti prednost pred postojećim. Ako se instancom upravlja kroz upravitelja sesijama, a ne SSH-om ili RDP-om, potvrdite da taj put još radi nakon što se klijent poveže.
Odlučite koji će promet klijent nositi prije nego što ga uključite. Puni tunel može zahvatiti administratorsku sesiju i zaključati vas vani, a podijeljeni tunel može ostaviti instancu da dosegne privatnu mrežu dok njezin ostali promet ide drugim izlazom. Testirajte s dostupnim drugim administratorskim putem i zabilježite rute koje klijent instalira kako bi kasnija promjena bila objašnjiva.
Poslužitelj unutar VM-a: drugi se klijenti pridružuju njemu
Za samostalno upravljani poslužitelj vi posjedujete slušač, certifikat ili ključni materijal, bazu korisnika i pravila prosljeđivanja. Ako poslužitelj prosljeđuje promet za druge klijente, instanca postaje usmjerivač, a to zahtijeva prosljeđivanje na razini gosta plus promjene ruta i sigurnosnih grupa na razini AWS-a.
Provjerite slušač iz gosta i ponovno iz druge podmreže, zatim provjerite host prema kojem instanca prosljeđuje. Zdrava lokalna usluga ne dokazuje ništa o proslijeđenom putu, pa zabilježite oba rezultata u bilješku o promjeni.
Upravljani gatewayi zadržavaju uslugu, ne vaš dizajn pristupa
AWS Site-to-Site VPN dokumentira uloge tunela korisničkog gatewaya i AWS gatewaya, a kupnja te veze ne zamjenjuje svaki dizajn udaljenog pristupa. Client VPN dokumentira upravljanu krajnju točku s klijentskim personama, dok pravila autorizacije i ciljne rute ostaju vaše. AWS održava krajnju točku i njezine certifikate u radu; tko smije dosegnuti koju aplikaciju i dalje je pravilo autorizacije koje pišete i održavate.
Odaberite između proizvoda na pet osi: koju ulogu svaki igra, koje protokole prihvaća, koji izvor identiteta očekuje, kako se promet prosljeđuje i kako se isporučuje dostupnost. Zanemarite bilo koju pojedinačnu brojku propusnosti citiranu u forumskoj temi jer se objavljeni kapacitet mijenja s uslugom. I ne pretpostavljajte da upravljani par tunela mijenja ponašanje proizvoljnog gostujućeg klijenta.
Odaberite ulogu prije proizvoda
Napišite jednu rečenicu koja imenuje smjer: ovaj VM se pridružuje mreži, ovaj VM prihvaća klijente ili AWS gateway povezuje definirane mreže.
Ta rečenica određuje uži popis proizvoda, vlasnika softvera i načine otkaza koje ćete otklanjati. Ako je zahtjev da udaljeni korisnici dosegnu aplikaciju, klijent instaliran u VM-u aplikacije pogrešan je oblik. Ako je zahtjev da jedan VM dosegne partnersku mrežu, upravljani site-to-site gateway više je mehanizama nego što zadatak traži. Oba su odgovora legitimna; samo jedan od njih odgovara rečenici koju ste napisali.