AWS Client VPN әлде Site-to-Site: қосылымды кім ашатынын тексеріңіз
Client VPN құрылғыны немесе пайдаланушыны аутентификациялайды; Site-to-Site шлюзді AWS-ке қосады. Төрт тексеру ноутбугіңізге немесе филиалыңызға қайсысы шынымен қажет екенін анықтайды.
Мұны төрт тексеру шешеді және олардың ешқайсысы протоколдың аты емес. Қосылымды кім ашады, AWS нені аутентификациялайды, қосылым сіздің желіңізге қалай қосылады және онымен қандай маршруттау мен саясат келеді. Оларға ретімен жауап берсеңіз, өнім таңдауы әдетте өзі жасалады; дизайнды сатып алғаннан кейін жауап берсеңіз, мәселенің дұрыс емес жартысын шешетін туннельді қорғайсыз. Төртеуінің ешқайсысы сізден шифр таңдауды талап етпейді, сондықтан протоколдан басталатын дизайн әдетте талаптардың ешқашан жазылмағанының белгісі.
Әр тексеруді пайдаланғыңыз келетін нақты соңғы нүктеге, клиентке және мекенжай тобына қатысты жүргізіңіз, санатқа қатысты емес. Басқарылатын VPN өнімдері өздері ұқсайтын OpenVPN және IPsec құрылыс блоктарынан өзгеше.
Біріншіден, қосылымды кім ашады
Егер қатынас қажет нәрсе ноутбук, телефон немесе бір әкімшінің жұмыс станциясы болса, қосылым қашықтағы құрылғыдан басталады және дизайн қашықтағы клиенттік қатынас. Егер қатынас қажет нәрсе бір маршрутизатордың артындағы машиналарға толы филиал болса, қосылым сол маршрутизатордан басталады және дизайн шлюзден шлюзге. Бұл көп жағдайды шешетін тексеру және жеткізушінің тұсаукесері әңгімені шифрлар төңірегінде құрып қойғанда адамдар өткізіп жіберетін тексеру де осы.
Егер бастайтын құрамдасты атай алмасаңыз, осында тоқтаңыз. Екі жағдайды да бір туннельмен қамтуға тырысатын дизайн әдетте өзін шлюз ретінде көрсететін клиент сессиясымен аяқталады.
Екіншіден, AWS нені аутентификациялайды
Client VPN кезінде AWS конфигурацияланған клиент немесе пайдаланушы сәйкестігін аутентификациялайды: сертификаттар, каталог немесе федеративті сәйкестік, баптауға байланысты. Site-to-Site VPN кезінде AWS шлюз серіктесінің сәйкестігін аутентификациялайды. Бұл айырмашылық сыртқы емес. Бір модель пайдаланушыларды қосып, олардың тіркелгі деректерін кері қайтарып алу арқылы масштабталады; екіншісі бір шлюздің артында тұрғанның бәріне сену арқылы масштабталады.
Шлюз аутентификациясы оның артындағы әр қызметкерді немесе қолданбаны аутентификацияламайды, сондықтан туннельдің өзі сенімді болса да қолданба сәйкестіктері мен ресурс деңгейіндегі қатынасты сақтаңыз. Маршрутизаторы жарамды серіктес сәйкестігіне ие филиал автоматты түрде сол ғимараттағы әр үстелге рұқсат берілгендей оқылмауы керек.
Үшіншіден, қосылым қалай қосылады
Client VPN VPC ішкі желісінің бірлестіктері немесе қолдау көрсетілетін тікелей Transit Gateway қосылымы арқылы қосылады. Site-to-Site VPN AWS VPN мақсатына, әдетте виртуалды жеке шлюзге немесе Transit Gateway-ге қосылады. Client VPN сәулет нұсқаулығы Transit Gateway опциясын құжаттайды және оның болуы ноутбук сессиясын филиал шлюзіне айналдырмайды немесе жоғарыда сипатталған клиент аутентификациясы мен авторизациясын жоймайды.
Маршруттарды оның төңірегінде жобаламас бұрын тіркелгіңіз бен аймағыңыз шын мәнінде қай қосылымды қолдайтынын тексеріңіз, содан кейін сол қосылым кімдікі екенін тексеріңіз. Құжаттамада бар, бірақ өзіңіз конфигурациялай алмайтын желіде орналасқан опция опция емес.
Төртіншіден, онымен қандай маршруттау мен саясат келеді
Client VPN рұқсат ететін тағайындалған желілер үшін клиент қосылымдарын басқаруды және авторизация ережелерін әкеледі. Қосылған пайдаланушыға әлі де көзделген соңғы нүктеге маршрут, оған рұқсат беретін авторизация ережесі және ресурстың өзі талап ететін қатынас қажет. Site-to-Site VPN тұтынушы шлюзімен ұсынылған желілер арасында маршруттайды, дизайнға байланысты қолдау көрсетілетін статикалық маршруттарды немесе BGP-ны пайдаланып, сондықтан филиал маршрутизаторының артындағы жекелеген машиналардың әрқайсысына клиенттік кіру қажет емес.
Ешбір бағытта санаттан қолдаусыз мінез-құлық шығармаңыз. Қашықтағы қатынас VPN-тері кері трафикті тасымалдауға немесе шлюздік схемаларды қолдауға әмбебап қабілетсіз емес және IPsec NAT-пен автоматты түрде бұғатталмайды — AWS NAT-тан өтуді және тұтынушы шлюзіне қойылатын талаптарды құжаттайды, ал нақты шектеу — қолдау көрсетілетін шлюз конфигурациясы. Клиенттерге қарай басталатын қосылымдарды талап етпес немесе бір сессияның артындағы LAN-ды жібермес бұрын соңғы нүктеңіздің шектеулерін тексеріңіз. Дәл осындай сақтық мекенжай топтарына да қатысты: IPv4 арқылы жұмыс істейтін соңғы нүкте IPv6 жолын білдірмейді, сондықтан клиентіңіз немесе шлюзіңіз шын мәнінде келісетін топты растаңыз.
Site-to-Site VPN әр қосылымға екі туннель береді және бұл артықтық болжауға болатын функция емес, дизайн міндеті. Тұтынушы шлюзінің жұмысы, маршруттардың істен шыққанда ауысуы және тесттік қамту — барлығын жоспарлау керек; бір ноутбук сессиясын дерексіз VPN серверімен салыстыру екеуі туралы да ештеңе дәлелдемейді.
Екі дизайн қай жерде кездеседі
Қызметтер бір-бірін жоққа шығармайды және кәдімгі өндірістік нысан екеуін де пайдаланады: қызметкерлер Client VPN-де, филиал желілері Site-to-Site-те, сөйлесуі тиіс тағайындалған орындар арасында айқын маршруттар мен қатынас саясатымен. Кесте төрт тексерудің қорытындысы, оларды орындаудың орны емес.
| Question | AWS Client VPN | AWS Site-to-Site VPN |
|---|---|---|
| Who establishes it? | A client on a remote device | A customer gateway device or appliance |
| What is authenticated? | The client or user identity | The gateway peer identity |
| How does it attach? | VPC subnet association or Transit Gateway | Virtual private gateway or Transit Gateway |
| What carries the path? | An OpenVPN-based client tunnel | IPsec tunnels to AWS endpoints |
Екі өнімнің де алмастырмайтын бір нәрсесі: шифрлау талабы VPN соңғы нүктесінен асып түсетін қолданбаға TLS. Егер сәйкестік аясыз қолданбада аяқталса, туннель — тасымал, ал сертификат әлі де бақылау.
Дизайн шолуына дейін төрт жауапты жазып қойыңыз, әрқайсысы бір жолда. Екі жауап қайшы келсе — айталық, пайдаланушымен аутентификацияланған клиент дизайны мен филиал ауқымындағы маршруттау талабы — сол қайшылық табылған нәрсе және оны қазір көру ауысу кезінде көруден арзан.