AWS Client VPN, թե Site-to-Site. ստուգեք, թե ով է բացում միացումը
Client VPN-ը նույնականացնում է սարք կամ օգտվող, Site-to-Site-ը միացնում է դարպասը AWS-ին: Չորս ստուգում որոշում են, թե ձեր նոթբուքին կամ մասնաճյուղին իրականում որն է պետք:
Սա որոշում են չորս ստուգում, և դրանցից ոչ մեկը պրոտոկոլի անունը չէ: Ով է բացում միացումը, ինչն է նույնականացնում AWS-ը, ինչպես է միացումը կցվում ձեր ցանցին, և ինչ երթուղավորում ու քաղաքականություն է գալիս դրա հետ: Պատասխանեք դրանց հերթականությամբ, և ապրանքի ընտրությունը սովորաբար ինքնըստինքյան է կատարվում. պատասխանեք այն բանից հետո, երբ արդեն գնել եք ձևավորում, և դուք կպաշտպանեք մի թունել, որը լուծում է խնդրի սխալ կեսը: Չորսից ոչ մեկը չի պահանջում ձեզնից գաղտնագրման ընտրություն, և դրա համար է, որ պրոտոկոլից սկսվող ձևավորումը սովորաբար նշան է, որ պահանջները երբեք չեն գրվել:
Յուրաքանչյուր ստուգում անցկացրեք այն իրական վերջնակետի, հաճախորդի և հասցեների ընտանիքի նկատմամբ, որը նախատեսում եք օգտագործել, ոչ թե կատեգորիայի: Կառավարվող VPN ապրանքները տարբերվում են OpenVPN-ի և IPsec-ի այն բլոկներից, որոնց նման են:
Նախ, ով է բացում միացումը
Եթե հասանելիության կարիք ունեցողը նոթբուք է, հեռախոս կամ մեկ ադմինիստրատորի աշխատանքային կայան, միացումը սկսվում է հեռակա սարքից, և ձևավորումը հեռակա հաճախորդի հասանելիություն է: Եթե հասանելիության կարիք ունեցողը մեկ երթուղիչի հետևում մեքենաներով լի մասնաճյուղ է, միացումը սկսվում է այդ երթուղիչից, և ձևավորումը դարպաս-դարպաս է: Սա այն ստուգումն է, որը որոշում է դեպքերի մեծ մասը, և հենց այն են բաց թողնում, երբ մատակարարի ներկայացումն արդեն ձևակերպել է խոսակցությունը գաղտնագրերի շուրջ:
Կանգ առեք այստեղ, եթե չեք կարող անվանել այն բաղադրիչը, որը սկսում է: Մեկ թունելով երկու դեպքն էլ սպասարկել փորձող ձևավորումը սովորաբար ավարտվում է հաճախորդի սեսիայով, որը ձևացնում է, թե դարպաս է:
Երկրորդ, ինչն է նույնականացնում AWS-ը
Client VPN-ի դեպքում AWS-ը նույնականացնում է կարգավորված հաճախորդի կամ օգտվողի ինքնությունը՝ վկայագրեր, գրացուցակ կամ ֆեդերատիվ ինքնություն՝ կախված կարգավորումից: Site-to-Site VPN-ի դեպքում AWS-ը նույնականացնում է դարպասի գործընկերոջ ինքնությունը: Այդ տարբերությունը կոսմետիկ չէ: Մի մոդելը մասշտաբավորվում է օգտվողներ ավելացնելով և նրանց հավատարմագրերը չեղարկելով. մյուսը՝ վստահելով այն ամենին, ինչ կանգնած է մեկ դարպասի հետևում:
Դարպասի նույնականացումը չի նույնականացնում դրա հետևում գտնվող յուրաքանչյուր աշխատողի կամ հավելվածի, ուստի պահպանեք հավելվածների ինքնությունները և ռեսուրսի մակարդակի հասանելիությունը նույնիսկ այն դեպքում, երբ թունելն ինքնին վստահելի է: Մի մասնաճյուղ, որի երթուղիչն ունի վավեր գործընկերոջ ինքնություն, չպետք է ինքնաբերաբար ընթերցվի այնպես, կարծես այդ շենքի յուրաքանչյուր սեղան լիազորված է:
Երրորդ, ինչպես է միացումը կցվում
Client VPN-ը կցվում է VPC ենթացանցերի ասոցիացիաների կամ աջակցվող ուղիղ Transit Gateway կցման միջոցով: Site-to-Site VPN-ը կցվում է AWS VPN թիրախին, սովորաբար վիրտուալ մասնավոր դարպասի կամ Transit Gateway-ի: Client VPN-ի ճարտարապետության ուղեցույցը փաստագրում է Transit Gateway տարբերակը, և դրա գոյությունը նոթբուքի սեսիան չի դարձնում մասնաճյուղի դարպաս և չի հեռացնում վերը նկարագրված հաճախորդի նույնականացումն ու լիազորումը:
Ստուգեք, թե ձեր հաշիվն ու տարածաշրջանն իրականում որ կցումն են աջակցում, նախքան դրա շուրջ երթուղիներ ձևավորելը, ապա ստուգեք, թե ումն է այդ կցումը: Տարբերակ, որը կա փաստաթղթերում, բայց գտնվում է ցանցում, որը դուք չեք կարող կարգավորել, տարբերակ չէ:
Չորրորդ, ինչ երթուղավորում և քաղաքականություն է գալիս դրա հետ
Client VPN-ը բերում է հաճախորդի միացումների կառավարում և լիազորման կանոններ այն նպատակային ցանցերի համար, որոնք դուք թույլատրում եք: Միացված օգտվողին դեռևս անհրաժեշտ են նախատեսված վերջնակետի երթուղին, այն թույլատրող լիազորման կանոնը և այն հասանելիությունը, որը պահանջում է ինքը ռեսուրսը: Site-to-Site VPN-ը երթուղավորում է հաճախորդի դարպասով ներկայացված ցանցերի միջև՝ օգտագործելով աջակցվող ստատիկ երթուղիներ կամ BGP՝ կախված ձևավորումից, այնպես որ մասնաճյուղի երթուղիչի հետևում գտնվող առանձին մեքենաներից յուրաքանչյուրին հաճախորդի մուտք չի պահանջվում:
Ոչ մի ուղղությամբ մի ենթադրեք չաջակցվող վարքագիծ կատեգորիայից: Հեռակա հասանելիության VPN-ները համընդհանուր անկարող չեն փոխադրել վերադարձվող երթևեկություն կամ աջակցել դարպասային դասավորություններ, և IPsec-ը ինքնաբերաբար չի արգելափակվում NAT-ի կողմից. AWS-ը փաստագրում է NAT-ի անցումը և հաճախորդի դարպասի պահանջները, և իրական սահմանափակումը աջակցվող դարպասի կարգավորումն է: Ստուգեք ձեր վերջնակետի սահմանափակումները նախքան հաճախորդների ուղղությամբ սկսվող միացումներ պահանջելը կամ մեկ սեսիայի հետևում LAN փոխանցելը: Նույն զգուշությունը վերաբերում է հասցեների ընտանիքներին. IPv4-ի վրայով աշխատող վերջնակետը չի նշանակում IPv6 ուղի, ուստի հաստատեք այն ընտանիքը, որը ձեր հաճախորդը կամ դարպասը իրականում կբանակցի:
Site-to-Site VPN-ը ձեզ երկու թունել է տալիս մեկ միացման համար, և այդ ավելորդությունը ձևավորման խնդիր է, այլ ոչ թե հատկություն, որը կարելի է ենթադրել: Հաճախորդի դարպասի աշխատանքը, երթուղիների ձախողման փոխարկումը և փորձարկման ծածկույթը բոլորը պետք է պլանավորվեն. մեկ նոթբուքի սեսիան վերացական VPN սերվերի հետ համեմատելը ոչինչ չի ապացուցում դրանցից ոչ մեկի մասին:
Որտեղ հանդիպում են երկու ձևավորումները
Ծառայությունները բացառող չեն, և սովորական արտադրական ձևը օգտագործում է երկուսն էլ. աշխատակիցները Client VPN-ում, մասնաճյուղերի ցանցերը Site-to-Site-ում, հստակ երթուղիներով և հասանելիության քաղաքականությամբ այն նպատակակետերի միջև, որոնք պետք է խոսեն: Աղյուսակը չորս ստուգումների ամփոփումն է, ոչ թե դրանք կատարելու փոխարինող:
| Question | AWS Client VPN | AWS Site-to-Site VPN |
|---|---|---|
| Who establishes it? | A client on a remote device | A customer gateway device or appliance |
| What is authenticated? | The client or user identity | The gateway peer identity |
| How does it attach? | VPC subnet association or Transit Gateway | Virtual private gateway or Transit Gateway |
| What carries the path? | An OpenVPN-based client tunnel | IPsec tunnels to AWS endpoints |
Մի բան, որը ոչ մի ապրանք չի փոխարինում. TLS այն հավելվածին, որի գաղտնագրման պահանջը տարածվում է VPN վերջնակետից այն կողմ: Եթե ձեր համապատասխանության շրջանակն ավարտվում է հավելվածում, թունելը փոխադրում է, և վկայագիրը դեռևս վերահսկողությունն է:
Գրեք չորս պատասխանները ձևավորման վերանայումից առաջ՝ յուրաքանչյուրը մեկ տողում: Երբ դրանցից երկուսը հակասում են միմյանց՝ ասենք, օգտվողով նույնականացված հաճախորդի ձևավորում և մասնաճյուղի չափի երթուղավորման պահանջ, այդ հակասությունն է հայտնաբերումը, և այն հիմա տեսնելն ավելի էժան է, քան անցման ընթացքում: