AWS Client VPN atau Site-to-Site: periksa siapa yang membuka koneksi

Empat pemeriksaan yang memutuskan ini, dan tidak satu pun di antaranya adalah nama protokol. Siapa yang membuka koneksi, apa yang diautentikasi AWS, bagaimana koneksi terpasang ke jaringan Anda, dan perutean serta kebijakan apa yang menyertainya. Jawab semuanya secara berurutan dan pilihan produk biasanya terjadi dengan sendirinya; jawab setelah Anda sudah membeli rancangan dan Anda akan membela terowongan yang menyelesaikan separuh masalah yang salah. Tidak satu pun dari keempatnya meminta Anda memilih cipher, karena itulah rancangan yang dimulai dari protokol biasanya menjadi tanda bahwa persyaratannya tidak pernah dituliskan.

Jalankan setiap pemeriksaan terhadap endpoint, klien, dan keluarga alamat yang sebenarnya akan Anda gunakan, bukan terhadap kategorinya. Produk VPN terkelola berbeda dari blok penyusun OpenVPN dan IPsec yang mirip dengannya.

Pertama, siapa yang membuka koneksi

Jika yang membutuhkan akses adalah laptop, ponsel, atau stasiun kerja satu administrator, koneksi dimulai dari perangkat jarak jauh dan rancangannya adalah akses klien jarak jauh. Jika yang membutuhkan akses adalah cabang penuh mesin di belakang satu router, koneksi dimulai dari router itu dan rancangannya adalah gateway-ke-gateway. Inilah pemeriksaan yang menyelesaikan sebagian besar kasus, dan inilah yang dilewatkan orang ketika presentasi vendor sudah membingkai percakapan di sekitar cipher.

Berhenti di sini jika Anda tidak dapat menyebutkan komponen yang memulai. Rancangan yang mencoba melayani kedua kasus dengan satu terowongan biasanya berakhir dengan sesi klien yang berpura-pura menjadi gateway.

Kedua, apa yang diautentikasi AWS

Pada Client VPN, AWS mengautentikasi identitas klien atau pengguna yang dikonfigurasi: sertifikat, direktori, atau identitas federasi, tergantung penyiapannya. Pada Site-to-Site VPN, AWS mengautentikasi identitas peer gateway. Perbedaan itu bukan kosmetik. Satu model berskala dengan menambahkan pengguna dan mencabut kredensial mereka; yang lain berskala dengan memercayai apa pun yang berada di belakang satu gateway.

Autentikasi gateway tidak mengautentikasi setiap karyawan atau aplikasi di belakangnya, jadi pertahankan identitas aplikasi dan akses tingkat sumber daya meskipun terowongannya sendiri dipercaya. Cabang yang routernya memiliki identitas peer yang valid tidak boleh otomatis dibaca seolah setiap meja di gedung itu diotorisasi.

Ketiga, bagaimana koneksi terpasang

Client VPN terpasang melalui asosiasi subnet VPC atau lampiran Transit Gateway langsung yang didukung. Site-to-Site VPN terpasang ke target AWS VPN, umumnya gateway privat virtual atau Transit Gateway. Panduan arsitektur Client VPN mendokumentasikan opsi Transit Gateway, dan keberadaannya tidak mengubah sesi laptop menjadi gateway cabang atau menghapus autentikasi dan otorisasi klien yang dijelaskan di atas.

Periksa lampiran yang benar-benar didukung akun dan wilayah Anda sebelum merancang rute di sekitarnya, lalu periksa siapa yang memiliki lampiran itu. Opsi yang ada dalam dokumentasi tetapi berada di jaringan yang tidak dapat Anda konfigurasi bukanlah opsi.

Keempat, perutean dan kebijakan apa yang menyertainya

Client VPN membawa manajemen koneksi klien dan aturan otorisasi untuk jaringan tujuan yang Anda izinkan. Pengguna yang terhubung masih memerlukan rute endpoint yang dimaksud, aturan otorisasi yang mengizinkannya, dan akses apa pun yang dibutuhkan sumber daya itu sendiri. Site-to-Site VPN merutekan antar jaringan yang diwakili gateway pelanggan, menggunakan rute statis yang didukung atau BGP tergantung rancangannya, sehingga masing-masing mesin di belakang router cabang tidak perlu login klien.

Jangan menyimpulkan perilaku yang tidak didukung dari kategorinya ke arah mana pun. VPN akses jarak jauh tidak secara universal tidak mampu membawa lalu lintas balik atau mendukung penataan gateway, dan IPsec tidak otomatis diblokir oleh NAT — AWS mendokumentasikan traversal NAT dan persyaratan gateway pelanggan, dan konfigurasi gateway yang didukung adalah batasan sebenarnya. Periksa pembatasan untuk endpoint Anda sebelum Anda mensyaratkan koneksi yang dimulai ke arah klien atau meneruskan LAN di belakang satu sesi. Kehati-hatian yang sama berlaku untuk keluarga alamat: endpoint yang bekerja melalui IPv4 tidak berarti jalur IPv6, jadi pastikan keluarga yang benar-benar akan dinegosiasikan klien atau gateway Anda.

Site-to-Site VPN memberi Anda dua terowongan per koneksi, dan redundansi itu adalah tugas rancangan, bukan fitur yang bisa diasumsikan. Pengoperasian gateway pelanggan, failover rute, dan cakupan pengujian semuanya harus direncanakan; membandingkan satu sesi laptop dengan server VPN abstrak tidak membuktikan apa pun tentang keduanya.

Tempat kedua rancangan bertemu

Layanannya tidak saling eksklusif, dan bentuk produksi yang umum memakai keduanya: karyawan pada Client VPN, jaringan cabang pada Site-to-Site, dengan rute eksplisit dan kebijakan akses antara tujuan yang harus saling berkomunikasi. Tabel tersebut adalah ringkasan keempat pemeriksaan, bukan pengganti untuk menjalankannya.

Satu hal yang tidak digantikan oleh kedua produk: TLS ke aplikasi yang persyaratan enkripsinya melampaui endpoint VPN. Jika cakupan kepatuhan Anda berakhir di aplikasi, terowongan adalah transportasi dan sertifikat tetap menjadi kendalinya.

Tuliskan keempat jawabannya sebelum tinjauan rancangan, satu baris masing-masing. Ketika dua di antaranya saling bertentangan — misalnya, rancangan klien terautentikasi pengguna dengan kebutuhan perutean sebesar cabang — pertentangan itulah temuannya, dan lebih murah melihatnya sekarang daripada saat cutover.