EC2 Windows: VPN-kliens, VPN-kiszolgáló vagy AWS-átjáró?
Egy Windows EC2-példány futtathat VPN-szoftvert, de a kliens, az önállóan kezelt kiszolgáló és az AWS-átjáró különböző szerepek, különböző tulajdonosokkal.
Egy csapatnak VPN-kapcsolatra van szüksége egy Windows EC2-példányon futó alkalmazáshoz, talál kompatibilis kliensszoftvert, telepíti, majd megkérdezi, miért nem tudja a VPC többi része használni. A telepítés működött; a szerepet soha nem döntötték el. A vendég belsejében futó szoftver lehet olyan kliens, amely más hálózatához csatlakozik, olyan kiszolgáló, amely más klienseket fogad, vagy egyik AWS által kezelt VPN-termék sem, és minden szerep más munkát hagy Önnél.
A tünet általában a rossz szerep
A gyakori tünet egy működő alagút, amely a rossz problémát oldja meg. A virtuális gépen belüli kliens kimenő útvonalat ad a gépnek; nem ad bejutási utat a laptopjának, irodájának vagy egy másik alhálózatnak. A gépen belüli kiszolgáló bejutási utat ad másoknak, de most Ön birtokolja a figyelőt, a hitelesítést és a továbbítást.
A felügyelt szolgáltatások a szolgáltatás üzemeltetését az AWS-hez helyezik át, és a tervezést Önnél hagyják. A Site-to-Site VPN hálózatokat köt össze egy ügyfélátjárón és egy AWS-átjárón keresztül, a Client VPN pedig felügyelt végpontot ad a távoli eszközöknek. Mindkét esetben az útvonalak, az engedélyezési szabályok és az identitásforrás az Ön konfigurációja, és egyik termék sem telepít általános célú klienst Windows-vendég belsejébe.
Négy forma lehetséges, és a táblázat aszerint választja szét őket, mi kapcsolódik mihez, és ki viseli az üzemeltetési terhet.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
A sort olvassa, ne a terméknevet: ugyanaz a Windows-példány két különböző sorban is állhat attól függően, milyen szoftver fut benne.
Kliens a virtuális gépen belül: a gép csatlakozik egy hálózathoz
A kimenő kliensnek a telepítés előtt ellenőriznie kell a Windows-kiadást, az architektúrát és az illesztőprogram-követelményeket. A kliens megváltoztatja az útvonalakat és a DNS-t a példányon, ami hatással lehet a már ott futó szolgáltatásokra, beleértve a távoli felügyelethez használt útvonalat is. Jegyezze fel az adapter nevét és az interfész metrikáját, amelyet a kliens beállít, mert az új interfész elsőbbséget kaphat a meglévővel szemben. Ha a példányt SSH vagy RDP helyett munkamenet-kezelőn keresztül kezelik, erősítse meg, hogy az az útvonal a kliens csatlakozása után is működik.
Döntse el, milyen forgalmat vigyen a kliens, mielőtt engedélyezné. A teljes alagút elkaphatja a felügyeleti munkamenetet és kizárhatja Önt, a megosztott alagút pedig hagyhatja a példányt elérni a magánhálózatot, miközben egyéb forgalma más kijáratot vesz. Teszteljen elérhető második felügyeleti útvonallal, és jegyezze fel a kliens által telepített útvonalakat, hogy egy későbbi változás magyarázható legyen.
Kiszolgáló a virtuális gépen belül: más kliensek csatlakoznak hozzá
Önállóan kezelt kiszolgáló esetén Ön birtokolja a figyelőt, a tanúsítványt vagy kulcsanyagot, a felhasználói adatbázist és a továbbítási szabályokat. Ha a kiszolgáló más kliensek forgalmát továbbítja, a példány routerré válik, és ehhez vendégszintű továbbítás, valamint AWS-szintű útvonal- és biztonságicsoport-változások kellenek.
Vizsgálja meg a figyelőt a vendégből, majd egy másik alhálózatból, aztán egy olyan gazdagépet, amely felé a példány továbbít. Egy egészséges helyi szolgáltatás semmit nem bizonyít a továbbított útvonalról, ezért mindkét eredményt jegyezze fel a változási feljegyzésbe.
A felügyelt átjárók a szolgáltatást tartják meg, nem az Ön hozzáférési tervét
AWS Site-to-Site VPN dokumentálja az ügyfélátjáró és az AWS-átjáró alagútszerepeit, és a kapcsolat megvásárlása nem helyettesít minden távoli hozzáférési tervet. A Client VPN egy felügyelt végpontot dokumentál kliensszemélyiségekkel, míg az engedélyezési szabályok és a célútvonalak az Önéi maradnak. Az AWS működteti a végpontot és tanúsítványait; hogy ki melyik alkalmazást érheti el, továbbra is olyan engedélyezési szabály, amelyet Ön ír és tart karban.
Válasszon a termékek között öt tengely mentén: milyen szerepet játszik mindegyik, milyen protokollokat fogad, milyen identitásforrást vár, hogyan továbbítódik a forgalom, és hogyan biztosított az elérhetőség. Hagyjon figyelmen kívül minden egyedi átbocsátóképesség-számot, amelyet fórumtémában idéznek, mert a közzétett kapacitás a szolgáltatással együtt változik. És ne feltételezze, hogy egy felügyelt alagútpár megváltoztatja egy tetszőleges vendégkliens viselkedését.
A termék előtt válassza ki a szerepet
Írjon egy mondatot, amely megnevezi az irányt: ez a gép csatlakozik egy hálózathoz, ez a gép klienseket fogad, vagy egy AWS-átjáró meghatározott hálózatokat köt össze.
Ez a mondat dönti el a termékek szűk listáját, a szoftver tulajdonosát és azokat a hibaformákat, amelyeket hibakeresni fog. Ha a követelmény az, hogy távoli felhasználók elérjenek egy alkalmazást, az alkalmazás virtuális gépére telepített kliens a rossz forma. Ha a követelmény az, hogy egy gép elérjen egy partnerhálózatot, a felügyelt hely-hely átjáró több gépezet, mint amire a feladatnak szüksége van. Mindkét válasz jogos; csak az egyik felel meg az írt mondatnak.