AWS Client VPN oder Site-to-Site: préift, wien d'Verbindung opmécht

Véier Prüfunge bestëmmen dat, an keng dovun ass den Numm vum Protokoll. Wien d'Verbindung opmécht, wat AWS authentifizéiert, wéi d'Verbindung u Ärem Reseau ugeschloss gëtt, a wéi eng Routing a Politk domat kommen. Äntwert doriwwer an der Rei an d'Produktauswiel mécht sech meeschtens selwer; äntwert se, nodeems Dir schonn en Design kaaft hutt, an Dir wäert en Tunnel verdeedegen, deen déi falsch Halschent vum Problem léist. Keng vun de véier frot Iech, eng Verschlësselung ze wielen, dofir ass en Design, deen mam Protokoll ufänkt, meeschtens en Zeeche dass d'Ufuerderunge ni opgeschriwwe goufen.

Maacht all Prüfung géint den tatsächlechen Endpunkt, de Client an d'Adressfamill, déi Dir wëllt benotzen, net géint d'Kategorie. Gestioun VPN-Produkter ënnerscheede sech vun den OpenVPN- an IPsec-Bausteine, deenen se gläichen.

Éischtens, wien d'Verbindung opmécht

Wann dat, wat Zougang brauch, en Laptop, en Telefon oder d'Aarbechtsplaz vun engem eenzegen Administrateur ass, fänkt d'Verbindung op engem Apparat aus der Distanz un an d'Design ass Fernclient-Zougang. Wann dat, wat Zougang brauch, eng Filial voller Maschinne hannert engem eenzegen Router ass, fänkt d'Verbindung op deem Router un an d'Design ass Gateway-zu-Gateway. Dat ass d'Prüfung, déi déi meeschte Fäll entscheet, an et ass déi, déi d'Leit iwwersprangen, wann eng Presentatioun vun engem Fournisseur d'Gespréich schonn ëm Verschlësselungen gerummt huet.

Hält hei un, wann Dir de Bestanddeel, deen ufänkt, net nenne kënnt. En Design, deen déi zwou Fäll mat engem eenzegen Tunnel wëllt ofdecken, ennt meeschtens mat enger Client-Sessioun, déi sech als Gateway ausgëtt.

Zweetens, wat AWS authentifizéiert

Bei Client VPN authentifizéiert AWS d'konfiguréiert Client- oder Benotzeridentitéit: Zertifikater, en Verzeechnis oder eng federéiert Identitéit, jee no Setup. Bei Site-to-Site VPN authentifizéiert AWS d'Identitéit vum Gateway-Peer. Dee Ënnerscheed ass net kosmetesch. Ee Modell skaléiert andeems Benotzer derbäikommen an hir Umeldungsinformatioune widderruff ginn; dat anert skaléiert andeems een allem vertraut, wat hannert engem eenzegen Gateway steet.

D'Gateway-Authentifikatioun authentifizéiert net all Mataarbechter oder Applikatioun dohannert, also behält d'Applikatiounsidentitéiten an den Zougang op Ressourcenniveau, och wann den Tunnel selwer vertraut ass. Eng Filial, deenen hire Router eng gülteg Peer-Identitéit huet, sollt net automatesch gelies ginn, wéi wann all Schreifdësch an deem Gebai autoriséiert wier.

Drëttens, wéi d'Verbindung ugeschloss gëtt

Client VPN gëtt iwwer VPC-Subnetz-Associatiounen oder eng ënnerstëtzt direkt Transit Gateway-Uschluss ugeschloss. Site-to-Site VPN gëtt un en AWS VPN-Zil ugeschloss, meeschtens en virtuelle private Gateway oder en Transit Gateway. Den Client VPN-Architekturguide dokumentéiert d'Transit Gateway-Optioun, an hir Existenz mécht aus enger Laptop-Sessioun kee Filialgateway a läscht d'Client-Authentifikatioun an -Autorisatioun, déi uewe beschriwwe sinn, net aus.

Prüift den Uschluss, deen Äre Kont an Är Regioun tatsächlech ënnerstëtzen, ier Dir Ruten dorëmmer entwéckelt, a prüift duerno, wien deem Uschluss gehéiert. Eng Optioun, déi an der Dokumentatioun existéiert, awer op engem Reseau läit, deen Dir net konfiguréiere kënnt, ass keng Optioun.

Véiertens, wéi eng Routing a Politk domat kommen

Client VPN bréngt Client-Verbindungsmanagement a Genehmegungsregele fir déi Destinatiounsreseauen, déi Dir erlaabt. En ugeschlossene Benotzer brauch nach ëmmer déi virgesinn Route bis zum Endpunkt, eng Genehmegungsregel, déi se erlaabt, an dee Zougang, deen d'Ressource selwer verlaangt. Site-to-Site VPN routéiert tëschend Réseauen, déi duerch e Client-Gateway duergestallt ginn, mat ënnerstëtzten statesche Ruten oder BGP jee no Design, sou datt eenzel Maschinnen hannert dem Filialrouter net all eenzel e Client-Login brauchen.

Leet kee net-ënnerstëtzte Verhalen aus der Kategorie of, a keng Richtung. Fernzougangs-VPNen sinn net universell onfäeg, Retourtrafic ze droen oder Gateway-Arrangementer z'ënnerstëtzen, an IPsec gëtt net automatesch duerch NAT blockéiert — AWS dokumentéiert NAT-Traversal an d'Ufuerderunge fir Client-Gateways, an déi ënnerstëtzt Gateway-Konfiguratioun ass déi richteg Aschränkung. Prüift d'Aschränkunge fir Ären Endpunkt, ier Dir Verbindungen verlaangt, déi a Richtung Clienten ugefaange ginn, oder e LAN hannert enger Sessioun weidergitt. Déi selwecht Virsiicht gëllt fir Adressfamillen: en Endpunkt, deen iwwer IPv4 funktionéiert, heescht keng IPv6-Strooss, also bestätegt d'Famill, déi Äre Client oder Gateway tatsächlech verhandele wäert.

Site-to-Site VPN gëtt Iech zwee Tunnelen pro Verbindung, an déi Redondance ass eng Designaufgab an net eng Funktioun, déi Dir kënnt unhuelen. De Betrib vum Client-Gateway, de Failover vun de Ruten an d'Testofdeckung mussen all geplangt ginn; eng Laptop-Sessioun mat engem abstrakte VPN-Server ze vergläichen, beweist näischt iwwer eng vun deenen zwee.

Wou déi zwou Designen sech treffen

D'Servicer schléissen sech net aus, an déi üblech Produktiounsform benotzt béid: Mataarbechter op Client VPN, Filialreseauen op Site-to-Site, mat explizitte Ruten an Zougangspolitik tëschend den Destinatiounen, déi musse matenee schwätzen. D'Tabell ass eng Zesummefassung vun de véier Prüfungen, keen Ersatz fir se ze maachen.

Eng Saach, déi keent vun den zwee Produkter ersetzt: TLS zu enger Applikatioun, deenen hir Verschlësselungsufuerderung iwwer den VPN-Endpunkt erausgeet. Wann Äre Konformitéitsberäich bei der Applikatioun ophält, ass den Tunnel Transport an d'Zertifikat ass nach ëmmer d'Kontroll.

Schreift déi véier Äntwerten virun der Designreview op, eng Linn jidderee. Wann zwou dovu sech widerspriechen — zum Beispill en benotzerauthentifizéierten Client-Design mat enger Routingufuerderung an der Gréisst vun enger Filial — dann ass dee Widdersproch de Befund, an et ass méi bëlleg en elo ze gesinn wéi während dem Ümstiegsprozess.