EC2 Windows: VPN кардары, VPN сервери же AWS шлюзу?
Windows EC2 инстансы VPN программасын иштете алат, бирок кардар, өзү башкарылуучу сервер жана AWS шлюзу — бул ар башка ээлери бар ар башка ролдор.
Топ Windows EC2 инстансында иштеген колдонмо үчүн VPN байланышы керек, шайкеш кардар программасын табат, аны орнотот, анан VPCнын калган бөлүгү эмне үчүн аны колдоно албаганын сурайт. Орнотуу ийгиликтүү болду; роль эч качан аныкталган эмес. Коноктун ичинде иштеген программа башка бирөөнүн тармагына кошулуучу кардар, башка кардарларды кабыл алуучу сервер же AWS башкарган VPN продуктуларынын бири да болбошу мүмкүн, жана ар бир роль сизге башка жумуш калтырат.
Симптом көбүнчө туура эмес роль
Кеңири таралган симптом — туура эмес маселени чечкен иштеп турган туннель. VM ичиндеги кардар ошол VMге сыртка чыгуу жолун берет; ал ноутбукуңузга, кеңсеңизге же башка ички тармакка ичке кирүү жолун бербейт. VM ичиндеги сервер башкаларга ичке кирүү жолун берет, бирок эми угуучу, аутентификация жана кайра жиберүү сиздин колуңузда.
Башкарылуучу кызматтар кызматтын ишин AWSке өткөрүп, долбоорду сизге калтырат. Site-to-Site VPN тармактарды кардар шлюзу жана AWS шлюзу аркылуу туташтырат, ал эми Client VPN алыскы түзмөктөргө башкарылуучу акыркы чекит берет. Эки учурда тең маршруттар, авторизация эрежелери жана инсандык булагы сиздин конфигурацияңыз, жана эки продукт тең Windows коногунун ичине жалпы максаттагы кардарды орнотпойт.
Төрт форма мүмкүн, жана таблица аларды эмне эмнеге туташканына жана операциялык жүктү ким көтөргөнүнө карай бөлөт.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Продукттун аталышын эмес, сапты окуңуз: ошол эле Windows инстансы ичинде кайсы программа иштеп жатканына жараша эки башка сапта болушу мүмкүн.
VM ичиндеги кардар: VM тармакка кошулат
Сыртка чыгуучу кардар бир нерсе орнотулганга чейин Windows курулушун, архитектурасын жана драйвер талаптарын текшерүүсү керек. Кардар инстанста маршруттарды жана DNSти өзгөртөт, бул ал жерде мурунтан иштеп жаткан кызматтарга, анын ичинде алыскы башкаруу үчүн колдонгон жолго таасир этиши мүмкүн. Адаптердин атын жана кардар белгилеген интерфейс метрикасын жазып алыңыз, анткени жаңы интерфейс мурункудан артыкчылык алышы мүмкүн. Эгер инстанс SSH же RDP ордуна сессия менеджери аркылуу башкарылса, кардар туташкандан кийин да бул жол иштешин ырастаңыз.
Кардарды иштетүүдөн мурун ал кайсы трафикти ташышы керектигин чечиңиз. Толук туннель башкаруу сессиясын кармап, сизди сыртта камап коюшу мүмкүн, ал эми бөлүнгөн туннель инстанстын жеке тармакка жетишине жол берип, башка трафиги башка чыгууга кетет. Экинчи башкаруу жолу бар кезде сынап көрүңүз жана кардар орноткон маршруттарды жазып алыңыз, ошондо кийинки өзгөртүү түшүндүрүлө алат.
VM ичиндеги сервер: башка кардарлар ага кошулат
Өзү башкарылуучу сервер үчүн угуучу, сертификат же ачкыч материалы, колдонуучулар базасы жана кайра жиберүү эрежелери сиздики. Эгер сервер башка кардарлар үчүн трафикти кайра жиберсе, инстанс маршрутизаторго айланат, жана бул конок деңгээлиндеги кайра жиберүүнү кошуп AWS деңгээлиндеги маршрут жана коопсуздук топторунун өзгөртүүлөрүн талап кылат.
Угуучуну коноктон, анан башка ички тармактан текшериңиз, андан кийин инстанс кайра жиберген хостту текшериңиз. Ден соолугу жакшы жергиликтүү кызмат кайра жиберилген жол жөнүндө эч нерсени далилдебейт, ошондуктан эки жыйынтыкты тең өзгөртүү жазуусуна жазыңыз.
Башкарылуучу шлюздер кызматты сактайт, сиздин жетүү долбооруңузду эмес
AWS Site-to-Site VPN кардар шлюзу жана AWS шлюзу туннелдеринин ролдорун документтейт, жана бул байланышты сатып алуу алыскы жетүүнүн ар бир долбоорун алмаштырбайт. Client VPN кардар персоналары менен башкарылуучу акыркы чекитти документтейт, ал эми авторизация эрежелери жана максаттуу маршруттар сиздики бойдон калат. AWS акыркы чекитти жана анын сертификаттарын иштеп турат; ким кайсы колдонмого жете алары дагы эле сиз жаза турган жана колдой турган авторизация эрежеси.
Продуктуларды беш ок боюнча тандаңыз: ар бири кандай роль ойнойт, кандай протоколдорду кабыл алат, кандай инсандык булагын күтөт, трафик кантип кайра жиберилет жана жеткиликтүүлүк кантип берилет. Форум темасында келтирилген кандайдыр бир өткөрүү жөндөмдүүлүгүнүн санын этибарга албаңыз, анткени жарыяланган сыйымдуулук кызмат менен бирге өзгөрөт. Жана башкарылуучу туннелдер жуптугу кандайдыр бир конок кардардын жүрүм-турумун өзгөртөт деп ойлобоңуз.
Ролду продуктудан мурун тандаңыз
Багытты атаган бир сүйлөм жазыңыз: бул VM тармакка кошулат, бул VM кардарларды кабыл алат же AWS шлюзу аныкталган тармактарды туташтырат.
Ошол сүйлөм продуктулардын кыскача тизмесин, программанын ээсин жана сиз оңдой турган ишке жараксыздык режимдерин аныктайт. Эгер талап алыскы колдонуучулардын колдонмого жетиши болсо, колдонмонун VM ичине орнотулган кардар туура эмес форма. Эгер талап бир VMнын өнөктөш тармагына жетиши болсо, башкарылуучу сайт-сайт шлюзу тапшырмага керектүүдөн көп механизм. Эки жооп тең мыйзамдуу; алардын бирөө гана сиз жазган сүйлөмгө туура келет.