EC2 Windows: klien VPN, server VPN, atau gateway AWS?
Instans EC2 Windows dapat menjalankan perangkat lunak VPN, tetapi klien, server yang dikelola sendiri, dan gateway AWS adalah peran berbeda dengan pemilik berbeda.
Sebuah tim membutuhkan konektivitas VPN untuk aplikasi yang berjalan pada instans EC2 Windows, menemukan perangkat lunak klien yang kompatibel, memasangnya, lalu bertanya mengapa sisa VPC tidak dapat menggunakannya. Pemasangan berhasil; perannya tidak pernah diputuskan. Perangkat lunak yang berjalan di dalam tamu dapat menjadi klien yang bergabung ke jaringan orang lain, server yang menerima klien lain, atau bukan salah satu dari produk VPN yang dikelola AWS, dan setiap peran meninggalkan pekerjaan berbeda kepada Anda.
Gejalanya biasanya peran yang salah
Gejala umumnya adalah terowongan yang berfungsi tetapi menyelesaikan masalah yang salah. Klien di dalam VM memberi VM itu jalur keluar; itu tidak memberi laptop, kantor, atau subnet lain jalur masuk. Server di dalam VM memberi orang lain jalur masuk, tetapi sekarang Anda memiliki pendengar, autentikasi, dan penerusan.
Layanan terkelola memindahkan operasi layanan ke AWS dan menyisakan desainnya kepada Anda. Site-to-Site VPN menghubungkan jaringan melalui gateway pelanggan dan gateway AWS, dan Client VPN memberi perangkat jarak jauh titik akhir terkelola. Dalam kedua kasus, rute, aturan otorisasi, dan sumber identitas adalah konfigurasi Anda, dan tidak ada produk yang memasang klien serbaguna di dalam tamu Windows.
Ada empat bentuk yang mungkin, dan tabel memisahkannya berdasarkan apa yang terhubung dengan apa dan siapa yang memikul beban operasional.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Bacalah barisnya, bukan nama produknya: instans Windows yang sama dapat berada di dua baris berbeda tergantung perangkat lunak yang berjalan di dalamnya.
Klien di dalam VM: VM bergabung ke jaringan
Klien keluar perlu memeriksa build Windows, arsitektur, dan persyaratan pengemudi sebelum apa pun dipasang. Klien akan mengubah rute dan DNS pada instans, yang dapat memengaruhi layanan yang sudah berjalan di sana, termasuk jalur yang Anda gunakan untuk administrasi jarak jauh. Catat nama adaptor dan metrik antarmuka yang ditetapkan klien, karena antarmuka baru dapat lebih diutamakan daripada yang lama. Jika instans dikelola melalui manajer sesi alih-alih SSH atau RDP, pastikan jalur itu masih berfungsi setelah klien terhubung.
Putuskan lalu lintas mana yang harus dibawa klien sebelum Anda mengaktifkannya. Terowongan penuh dapat menangkap sesi manajemen dan mengunci Anda di luar, dan terowongan terpisah dapat membuat instans menjangkau jaringan privat sementara lalu lintas lainnya mengambil jalan keluar lain. Uji dengan jalur manajemen kedua tersedia, dan catat rute yang dipasang klien agar perubahan kemudian dapat dijelaskan.
Server di dalam VM: klien lain bergabung ke sana
Untuk server yang dikelola sendiri, Anda memiliki pendengar, sertifikat atau materi kunci, basis data pengguna, dan aturan penerusan. Jika server meneruskan lalu lintas untuk klien lain, instans menjadi perute, dan itu memerlukan penerusan tingkat tamu ditambah perubahan rute dan grup keamanan tingkat AWS.
Uji pendengar dari tamu dan lagi dari subnet lain, lalu uji host yang dituju penerusan instans. Layanan lokal yang sehat tidak membuktikan apa pun tentang jalur yang diteruskan, jadi catat kedua hasil di catatan perubahan.
Gateway terkelola mempertahankan layanan, bukan desain akses Anda
AWS Site-to-Site VPN mendokumentasikan peran terowongan gateway pelanggan dan gateway AWS, dan membeli koneksi itu tidak menggantikan setiap desain akses jarak jauh. Client VPN mendokumentasikan titik akhir terkelola dengan persona klien, sedangkan aturan otorisasi dan rute tujuan tetap milik Anda. AWS menjaga titik akhir dan sertifikatnya tetap berjalan; siapa yang boleh menjangkau aplikasi mana tetap merupakan aturan otorisasi yang Anda tulis dan pelihara.
Pilih di antara produk pada lima sumbu: peran apa yang dimainkan masing-masing, protokol apa yang diterima, sumber identitas apa yang diharapkan, bagaimana lalu lintas diteruskan, dan bagaimana ketersediaan disampaikan. Abaikan angka throughput tunggal apa pun yang dikutip di utas forum, karena kapasitas yang dipublikasikan bergerak bersama layanan. Dan jangan berasumsi bahwa sepasang terowongan terkelola mengubah perilaku klien tamu sembarangan.
Pilih peran sebelum produk
Tulis satu kalimat yang menyebut arahnya: VM ini bergabung ke jaringan, VM ini menerima klien, atau gateway AWS menghubungkan jaringan yang ditentukan.
Kalimat itu menentukan daftar pendek produk, pemilik perangkat lunak, dan mode kegagalan yang akan Anda awakutu. Jika persyaratannya adalah pengguna jarak jauh menjangkau aplikasi, klien yang dipasang di VM aplikasi adalah bentuk yang salah. Jika persyaratannya adalah satu VM menjangkau jaringan mitra, gateway situs-ke-situs terkelola lebih banyak mesin daripada yang dibutuhkan tugas. Kedua jawaban sah; hanya satu yang cocok dengan kalimat yang Anda tulis.