AWS Client VPN eða Site-to-Site: athugaðu hver opnar tenginguna

Fjórar athuganir ráða þessu og engin þeirra er nafn siðareglunnar. Hver opnar tenginguna, hvað AWS sannreynir, hvernig tengingin tengist netinu þínu og hvaða leiðsla og stefna fylgja henni. Svaraðu þessu í röð og varan velst venjulega sjálfkrafa; svaraðu eftir að þú hefur þegar keypt hönnun og þú munt verja göng sem leysir ranga helming vandans. Ekkert þeirra fjögurra biður þig að velja dulritun og þess vegna er hönnun sem byrjar á siðareglunni venjulega merki um að kröfurnar hafi aldrei verið skrifaðar.

Framkvæmdu hverja athugun gagnvart raunverulegum endapunkti, biðlara og þeirri vistfangs fjölskyldu sem þú ætlar að nota, ekki gagnvart flokknum. Stýrðar VPN vörur eru frábrugðnar OpenVPN og IPsec byggingareiningunum sem þær líkjast.

Fyrst, hver opnar tenginguna

Ef það sem þarf aðgang er fartölva, sími eða vinnustöð eins stjórnanda byrjar tengingin á fjartæki og hönnunin er fjaraðgangur biðlara. Ef það sem þarf aðgang er útibú fullt af vélum bak við eina beinu byrjar tengingin á þeirri beinu og hönnunin er gátt-í-gátt. Þetta er athugunin sem leysir flest tilvik og hún er sú sem fólk sleppir þegar kynning frá söluaðila hefur þegar rammað samræðurnar inn um dulritanir.

Stoppaðu hér ef þú getur ekki nefnt þá einingu sem hefur frumkvæðið. Hönnun sem reynir að þjóna báðum tilvikum með einu göngum endar venjulega með biðlarafundi sem þykist vera gátt.

Í öðru lagi, hvað AWS sannreynir

Með Client VPN sannreynir AWS auðkenni biðlarans eða notandans sem stillt er: vottorð, skrá eða sambandsauðkenni, eftir uppsetningu. Með Site-to-Site VPN sannreynir AWS auðkenni gáttarinnar sem mótaðila. Sá munur er ekki kosmetískur. Eitt líkanið stækkar með því að bæta við notendum og afturkalla skírteini þeirra; hitt stækkar með því að treysta öllu sem stendur bak við eina gátt.

Gáttarsannreyning sannreynir ekki hvern starfsmann eða forrit bak við hana, svo haltu auðkennum forrita og aðgangi á auðlindastigi á sínum stað jafnvel þótt göngin sjálf séu treyst. Útibú þar sem beinan hefur gilt mótaðilaaðkenni ætti ekki að lesast sjálfkrafa eins og hvert skrifborð í þeirri byggingu sé heimilað.

Í þriðja lagi, hvernig tengingin tengist

Client VPN tengist í gegnum VPC undirnetssamtök eða studda beina Transit Gateway tengingu. Site-to-Site VPN tengist AWS VPN marki, venjulega sýndareinkagátt eða Transit Gateway. Arkitektúrleiðbeiningar Client VPN skjalfesta Transit Gateway valkostinn og tilvist hans gerir fartölvufund ekki að útibúsgátt né fjarlægir hún biðlarasannreyninguna og heimildina sem lýst er hér að ofan.

Athugaðu þá tengingu sem reikningurinn þinn og svæðið styðja í raun og veru áður en þú hannar leiðir í kringum hana og athugaðu síðan hver á þá tengingu. Valkostur sem er til í skjölunum en liggur á neti sem þú getur ekki stillt er ekki valkostur.

Í fjórða lagi, hvaða leiðsla og stefna fylgja henni

Client VPN færir stjórnun biðlaratenginga og heimildarreglur fyrir þau áfangnet sem þú leyfir. Tenging notanda þarf samt áfram fyrirhugaða leið að endapunktinum, heimildarreglu sem leyfir hana og þann aðgang sem auðlindin sjálf krefst. Site-to-Site VPN leiðsir milli neta sem kundagátt táknar, með studdum kyrrleiðum eða BGP eftir hönnun, þannig að einstakar vélar bak við útibúsbeinu þurfa ekki hver um sig biðlarainnskráningu.

Ekki draga óstudda hegðun af flokknum í neina átt. Fjaraðgangs-VPN eru ekki almennt ófær um að flytja afturumferð eða styðja gáttarfyrirkomulag og IPsec er ekki sjálfkrafa lokað af NAT — AWS skjalfestir NAT-ferð og kröfur um kundagátt og raunverulega takmörkunin er studda gáttarstillingin. Athugaðu takmarkanir endapunktsins þíns áður en þú krefst tenginga sem hefjast í átt að biðlurum eða framsendir LAN bak við einn fund. Sama varúð gildir um vistfangsfjölskyldur: endapunktur sem virkar yfir IPv4 þýðir ekki IPv6 slóð, svo staðfestu fjölskylduna sem biðlarinn þinn eða gáttin mun í raun semja um.

Site-to-Site VPN gefur þér tvö göng fyrir hverja tengingu og sú víxlverkun er hönnunarverkefni frekar en eiginleiki sem má gera ráð fyrir. Rekstur kundagáttar, leiðarskipti við bilun og prófunarþekja verða öll að vera skipulögð; að bera saman einn fartölvufund og óhlutbundið VPN þjón við sannar ekkert um hvort tveggja.

Þar sem hönnuðirnir tveir mætast

Þjónusturnar eru ekki einkaréttar og algeng framleiðslumynd notar báðar: starfsmenn á Client VPN, útibúsnet á Site-to-Site, með skýrum leiðum og aðgangsstefnu milli áfanganna sem verða að tala saman. Taflan er samantekt fjögurra athugana, ekki staðgengill fyrir að framkvæma þær.

Eitt sem hvorug vara kemur í staðinn fyrir: TLS að forriti þar sem dulritunarkrafan nær út fyrir VPN endapunktinn. Ef samræmissvið þitt endar við forritið er göngin flutningur og vottorðið er áfram stýringin.

Skrifaðu fjögur svör niður fyrir hönnunarúttektina, eitt á hverja línu. Þegar tvö þeirra stangast á — segjum, biðlarahönnun sannreynd með notanda og leiðslukrafa á stærð við útibú — þá er sú togstreita niðurstaðan og ódýrara er að sjá hana nú en í yfirfærslunni.