AWS Client VPN же Site-to-Site: туташууну ким ачарын текшериңиз
Client VPN түзмөктү же колдонуучуну аутентификациялайт; Site-to-Site шлюзду AWS менен байланыштырат. Төрт текшерүү ноутбукуңузга же филиалыңызга кайсынысы чындап керек экенин аныктайт.
Муну төрт текшерүү чечет жана алардын бири да протоколдун аталышы эмес. Туташууну ким ачат, AWS эмнени аутентификациялайт, туташуу сиздин тармагыңызга кантип туташат жана аны менен кандай маршруттоо жана саясат келет. Аларга удаалаш жооп берсеңиз, продукт тандоо адатта өзү болот; долбоорду сатып алгандан кийин жооп берсеңиз, маселенин туура эмес жарымын чечкен туннелди коргойсуз. Төртөөнүн бири да сизден шифр тандоону талап кылбайт, ошондуктан протоколдон башталган долбоор адатта талаптар эч качан жазылбаганынын белгиси.
Ар бир текшерүүнү колдонууну пландаган чыныгы акыркы чекитке, кардарга жана даректер үй-бүлөсүнө каршы жүргүзүңүз, категорияга каршы эмес. Башкарылуучу VPN продуктулары өздөрү окшошкон OpenVPN жана IPsec куруу блокторунан айырмаланат.
Биринчиден, туташууну ким ачат
Эгер кирүү керек болгон нерсе ноутбук, телефон же бир администратордун жумуш станциясы болсо, туташуу алыскы түзмөктөн башталат жана долбоор алыскы кардар кирүүсү. Эгер кирүү керек болгон нерсе бир маршрутизатордун артындагы машиналарга толгон филиал болсо, туташуу ошол маршрутизатордон башталат жана долбоор шлюзден шлюзгө. Бул көпчүлүк учурларды чечкен текшерүү жана жеткирүүчүнүн презентациясы сүйлөшүүнү шифрлердин айланасында түзүп койгондо адамдар өткөрүп жиберген текшерүү да ушул.
Эгер баштаган компонентти атай албасаңыз, ушул жерден токтоңуз. Эки учурду тең бир туннел менен тейлөөгө аракет кылган долбоор адатта өзүн шлюз катары көрсөткөн кардар сессиясы менен бүтөт.
Экинчиден, AWS эмнени аутентификациялайт
Client VPN болгондо AWS конфигурацияланган кардар же колдонуучу инсандыгын аутентификациялайт: сертификаттар, каталог же федеративдик инсандык, жөндөөгө жараша. Site-to-Site VPN болгондо AWS шлюз өнөктөшүнүн инсандыгын аутентификациялайт. Бул айырма сырткы эмес. Бир модель колдонуучуларды кошуп, алардын эсептик маалыматтарын жокко чыгаруу менен масштабдалат; экинчиси бир шлюздун артында тургандын баарына ишенүү менен масштабдалат.
Шлюз аутентификациясы анын артындагы ар бир кызматкерди же колдонмону аутентификациялабайт, ошондуктан туннелдин өзү ишенимдүү болсо да колдонмо инсандыктарын жана ресурс деңгээлиндеги кирүүнү сактаңыз. Маршрутизатору жарактуу өнөктөш инсандыгына ээ филиал автоматтык түрдө ошол имараттагы ар бир столго уруксат берилгендей окулбашы керек.
Үчүнчүдөн, туташуу кантип туташат
Client VPN VPC ички тармагынын бирикмелери же колдоого алынган түз Transit Gateway туташуусу аркылуу туташат. Site-to-Site VPN AWS VPN максатына, адатта виртуалдык жеке шлюзга же Transit Gatewayге туташат. Client VPN архитектуралык колдонмосу Transit Gateway опциясын документтештирет жана анын болушу ноутбук сессиясын филиал шлюзуна айландырбайт же жогоруда сүрөттөлгөн кардар аутентификациясын жана авторизациясын жок кылбайт.
Маршруттарды долбоорлоодон мурун эсебиңиз жана аймагыңыз чындап кайсы туташууну колдой турганын текшериңиз, анан ошол туташуу кимдики экенин текшериңиз. Документтерде бар, бирок сиз конфигурациялай албаган тармакта жайгашкан опция опция эмес.
Төртүнчүдөн, аны менен кандай маршруттоо жана саясат келет
Client VPN уруксат берген багыт тармактары үчүн кардар туташууларын башкарууну жана авторизация эрежелерин алып келет. Туташкан колдонуучуга дагы эле көздөлгөн акыркы чекитке маршрут, ага уруксат берген авторизация эрежеси жана ресурстун өзү талап кылган кирүү керек. Site-to-Site VPN кардар шлюзу менен көрсөтүлгөн тармактардын ортосунда маршруттайт, долбоорго жараша колдоого алынган статикалык маршруттарды же BGPни колдонуп, ошондуктан филиал маршрутизаторунун артындагы жекече машиналардын ар бирине кардар кирүүсү талап кылынбайт.
Эч бир багытта категориядан колдоого алынбаган жүрүм-турумду чыгарбаңыз. Алыскы кирүү VPNдери кайтарылган трафикти ташууга же шлюздук схемаларды колдоого жөндөмсүз эмес жана IPsec NAT тарабынан автоматтык түрдө бөгөттөлбөйт — AWS NATдан өтүүнү жана кардар шлюзуна коюлган талаптарды документтештирет, ал эми чыныгы чектөө — колдоого алынган шлюз конфигурациясы. Кардарларды көздөй башталган туташууларды талап кылганга чейин же бир сессиянын артындагы LANды жибергенге чейин акыркы чекитиңиздин чектөөлөрүн текшериңиз. Ушундай эле этияттык даректер үй-бүлөлөрүнө да тиешелүү: IPv4 аркылуу иштеген акыркы чекит IPv6 жолун билдирбейт, ошондуктан кардарыңыз же шлюзүңүз чындап келише турган үй-бүлөнү ырастаңыз.
Site-to-Site VPN ар бир туташууга эки туннел берет жана бул ашыкчалык болжолдоого боло турган функция эмес, долбоордук милдет. Кардар шлюзунун иштөөсү, маршруттардын иштебей калганда которулушу жана сыноо камтуусу — баарын пландаштыруу керек; бир ноутбук сессиясын абстрактуу VPN сервери менен салыштыруу экөө тууралуу да эч нерсе далилдебейт.
Эки долбоор кайда кезишет
Кызматтар бири-бирин жокко чыгарбайт жана кадимки өндүрүштүк форма экөөнү тең колдонот: кызматкерлер Client VPNде, филиал тармактары Site-to-Siteте, сүйлөшүүгө тийиш болгон багыттардын ортосунда ачык маршруттар жана кирүү саясаты менен. Таблица төрт текшерүүнүн жыйынтыгы, аларды аткаруунун орду эмес.
| Question | AWS Client VPN | AWS Site-to-Site VPN |
|---|---|---|
| Who establishes it? | A client on a remote device | A customer gateway device or appliance |
| What is authenticated? | The client or user identity | The gateway peer identity |
| How does it attach? | VPC subnet association or Transit Gateway | Virtual private gateway or Transit Gateway |
| What carries the path? | An OpenVPN-based client tunnel | IPsec tunnels to AWS endpoints |
Эки продукт тең алмаштырбаган бир нерсе: шифрлөө талабы VPN акыркы чекитинен ашкан колдонмого TLS. Эгер шайкештик аймагыңыз колдонмодо бүтсө, туннель — ташуу, ал эми сертификат дагы эле көзөмөл.
Долбоорду карап чыгуудан мурун төрт жоопту жазып коюңуз, ар бири бир сапта. Эки жооп кайчы келсе — айталы, колдонуучу менен аутентификацияланган кардар долбоору жана филиал көлөмүндөгү маршруттоо талабы — ошол кайчылык табылган нерсе жана аны азыр көрүү өтүү учурунда көрүүдөн арзан.