EC2 Windows: VPN клиенті, VPN сервері немесе AWS шлюзі?
Windows EC2 данасы VPN бағдарламасын іске қоса алады, бірақ клиент, өзін-өзі басқаратын сервер және AWS шлюзі — бұл әртүрлі иелері бар әртүрлі рөлдер.
Топ Windows EC2 данасында жұмыс істейтін қолданба үшін VPN қосылымын қажет етеді, үйлесімді клиенттік бағдарлама табады, оны орнатады, содан кейін VPC-ның қалған бөлігі неге оны пайдалана алмайтынын сұрайды. Орнату сәтті болды; рөл ешқашан анықталмаған. Қонақ жүйенің ішінде жұмыс істейтін бағдарлама басқа біреудің желісіне қосылатын клиент, басқа клиенттерді қабылдайтын сервер немесе AWS басқаратын VPN өнімдерінің бірі де болмауы мүмкін, және әр рөл сізге басқа жұмыс қалдырады.
Симптом әдетте дұрыс емес рөл
Жиі кездесетін симптом — дұрыс емес мәселені шешетін жұмыс істеп тұрған туннель. VM ішіндегі клиент сол VM-ге сыртқа шығу жолын береді; ол ноутбугыңызға, кеңсеңізге немесе басқа ішкі желіге ішке кіру жолын бермейді. VM ішіндегі сервер басқаларға ішке кіру жолын береді, бірақ енді тыңдаушы, аутентификация және қайта жіберу сіздің қолыңызда.
Басқарылатын қызметтер қызметтің жұмысын AWS-ке ауыстырып, дизайнды сізге қалдырады. Site-to-Site VPN желілерді клиент шлюзі мен AWS шлюзі арқылы қосады, ал Client VPN қашықтағы құрылғыларға басқарылатын соңғы нүкте береді. Екі жағдайда да маршруттар, авторизация ережелері және сәйкестік көзі сіздің конфигурацияңыз, және екі өнімнің ешқайсысы Windows қонағының ішіне жалпы мақсаттағы клиент орнатпайды.
Төрт пішін мүмкін, және кесте оларды не ненің қосылатынына және операциялық жүкті кім көтеретініне қарай бөледі.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Өнім атауын емес, жолды оқыңыз: бір Windows данасы ішінде қандай бағдарлама жұмыс істеп тұрғанына байланысты екі түрлі жолда бола алады.
VM ішіндегі клиент: VM желіге қосылады
Сыртқа шығатын клиент бірдеңе орнатылмас бұрын Windows жинағын, архитектураны және драйвер талаптарын тексеруі керек. Клиент данадағы маршруттар мен DNS-ті өзгертеді, бұл онда бұрыннан жұмыс істеп тұрған қызметтерге, соның ішінде қашықтан басқару үшін пайдаланатын жолға әсер етуі мүмкін. Адаптер атауын және клиент белгілейтін интерфейс метрикасын жазып алыңыз, өйткені жаңа интерфейс бұрынғыдан басымдық алуы мүмкін. Егер дана SSH немесе RDP орнына сессия менеджері арқылы басқарылса, клиент қосылғаннан кейін де бұл жолдың жұмыс істейтінін растаңыз.
Клиентті қоспас бұрын оның қандай трафикті тасымалдайтынын шешіңіз. Толық туннель басқару сессиясын ұстап алып, сізді сыртта құлыптауы мүмкін, ал бөлінген туннель дананың жеке желіге жетуіне мүмкіндік беріп, басқа трафигі басқа шығу жолын алады. Екінші басқару жолы бар кезде сынап көріңіз және клиент орнататын маршруттарды жазып алыңыз, сонда кейінгі өзгеріс түсіндіріле алады.
VM ішіндегі сервер: басқа клиенттер оған қосылады
Өзін-өзі басқаратын сервер үшін тыңдаушы, сертификат немесе кілт материалы, пайдаланушылар базасы және қайта жіберу ережелері сіздікі. Егер сервер басқа клиенттер үшін трафикті қайта жіберсе, дана маршрутизаторға айналады, және бұл қонақ деңгейіндегі қайта жіберуді қоса AWS деңгейіндегі маршрут пен қауіпсіздік топтарының өзгерістерін талап етеді.
Тыңдаушыны қонақтан, содан кейін басқа ішкі желіден тексеріңіз, онан соң дана қайта жіберетін хостты тексеріңіз. Сау жергілікті қызмет қайта жіберілетін жол туралы ештеңе дәлелдемейді, сондықтан екі нәтижені де өзгеріс жазбасына жазыңыз.
Басқарылатын шлюздер қызметті сақтайды, сіздің қатынау дизайныңызды емес
AWS Site-to-Site VPN клиент шлюзі мен AWS шлюзі туннельдерінің рөлдерін құжаттайды, және бұл қосылымды сатып алу қашықтан қатынаудың әр дизайнын алмастырмайды. Client VPN клиент персоналарымен басқарылатын соңғы нүктені құжаттайды, ал авторизация ережелері мен мақсатты маршруттар сіздікі болып қалады. AWS соңғы нүктені және оның сертификаттарын жұмыс істеп тұрғызады; кім қай қолданбаға жете алатыны әлі де сіз жазатын және қолдайтын авторизация ережесі.
Өнімдерді бес ось бойынша таңдаңыз: әрқайсысы қандай рөл атқарады, қандай протоколдарды қабылдайды, қандай сәйкестік көзін күтеді, трафик қалай қайта жіберіледі және қолжетімділік қалай беріледі. Форум тақырыбында келтірілген кез келген жалғыз өткізу қабілеті санын елемеңіз, өйткені жарияланған сыйымдылық қызметпен бірге өзгереді. Және басқарылатын туннель жұбы кез келген қонақ клиенттің мінез-құлқын өзгертеді деп ойламаңыз.
Рөлді өнімнен бұрын таңдаңыз
Бағытты атайтын бір сөйлем жазыңыз: бұл VM желіге қосылады, бұл VM клиенттерді қабылдайды немесе AWS шлюзі анықталған желілерді қосады.
Бұл сөйлем өнімдердің қысқа тізімін, бағдарламаның иесін және сіз жөндейтін ақаулық режимдерін анықтайды. Егер талап қашықтағы пайдаланушылардың қолданбаға жетуі болса, қолданбаның VM ішіне орнатылған клиент дұрыс емес пішін. Егер талап бір VM-ның серіктес желісіне жетуі болса, басқарылатын сайт-сайт шлюзі тапсырмаға қажеттен көп механизм. Екі жауап та заңды; олардың тек біреуі сіз жазған сөйлемге сәйкес келеді.