EC2 Windows: VPN-Client, VPN-Server oder AWS-Gateway?
Eng Windows EC2-Instanz kann VPN-Software lafen, awer e Client, e selbst verwaltete Server an en AWS-Gateway sinn ënnerschiddlech Rollen mat ënnerschiddlechen Eegentümer.
En Team brauch VPN-Konnektivitéit fir eng App, déi op enger Windows EC2-Instanz leeft, fënnt kompatibel Client-Software, installéiert se an freet dann, firwat de Rescht vum VPC se net ka benotzen. D'Installatioun huet funktionéiert; d'Roll gouf ni entscheet. Software, déi an engem Gast leeft, kann e Client sinn, deen engem aneren Netzwierk bäitriede, e Server, deen aner Clienten unhëlt, oder keent vun de béiden AWS-verwalteten VPN-Produkter, an all Roll léisst aner Aarbecht bei Iech.
D'Symptom ass meeschtens déi falsch Roll
D'heefegst Symptom ass en Tunnel, dee funktionéiert, awer dat falscht Problem léist. E Client an der VM gëtt där VM en Auswee; en gëtt Ärem Laptop, Ärem Büro oder engem aneren Subnetz keen Ëmwee. E Server an der VM gëtt aneren en Ëmwee, awer elo besitzt Dir den Listener, d'Authentifikatioun an d'Weiderleedung.
Verwalt Servicer verleeën de Betrib vum Service op AWS an iwwerloossen d'Design Iech. Site-to-Site VPN verbënnt Netzwierker iwwer eng Client-Gateway an eng AWS-Gateway, an Client VPN gëtt entfernten Apparater en verwalt Ennpunkt. A béide Fäll sinn d'Routen, d'Autorisatiounsregelen an d'Identitéitsquell Är Konfiguratioun, an keen vun de Produkter installéiert e Client fir allgemeng Zwecker an engem Windows-Gast.
Véier Formen si méiglech, an den Table trennt se no deem, wat sech mat wat verbënnt a wien d'Betriebslascht dréit.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Liest d'Rei an net den Produktnumm: déiselwecht Windows-Instanz kann an zwou verschidden Reien stoen, jee no deem, wéi eng Software dran leeft.
Client an der VM: d'VM trëtt engem Netzwierk bäi
En ausgehende Client muss de Windows-Build, d'Architektur an d'Chauffersufuerderunge préiwen, ier eppes installéiert gëtt. De Client ännert Routen an DNS op der Instanz, wat Servicer beaflosse kann, déi do schonn lafen, och de Wee, deen Dir fir d'Fernadministratioun benotzt. Notéiert den Numm vum Adapter an d'Interface-Metrik, déi de Client setzt, well den neien Interface Virrang virum bestehenden kréie kann. Wann d'Instanz iwwer e Session-Manager amplaz vun SSH oder RDP verwalt gëtt, bestätegt, datt dëse Wee nach funktionnéiert, nodeems de Client verbonnen ass.
Entscheet, wéi en Trafic de Client droe soll, ier Dir en aktivéiert. En Deel-Tunnel kann d'Verwaltungssessioun fänken an Iech aussperren, an en opgedeelte Tunnel kann d'Instanz dat privat Netzwierk erreeche loossen, während hirem aneren Trafic en anere Auswee hëlt. Testt mat engem zweeten Verwaltungswee, dee verfügbar ass, a notéiert d'Routen, déi de Client installéiert, sou datt eng spéider Ännerung erkläerbar ass.
Server an der VM: aner Clienten trieden him bäi
Bei engem selbst verwaltete Server besitzt Dir den Listener, d'Zertifikat oder d'Schlësselmaterial, d'Benotzerdatebank an d'Weiderleedungsregelen. Wann de Server Trafic fir aner Clienten weiderleet, gëtt d'Instanz en Router, an dat erfuerdert Weiderleedung um Gastniveau plus Ännerungen un Routen a Sécherheetsgruppen um AWS-Niveau.
Préift den Listener aus dem Gast an nach emol aus engem aneren Subnetz, da préift en Host, fir deen d'Instanz weiderleet. En gesonde lokale Service beweist näischt iwwer de weidergeleet Wee, dofir notéiert béid Resultater an der Ännerungsnotiz.
Verwalt Gateways behalen de Service, net Är Zougangsdesign
AWS Site-to-Site VPN dokumentéiert d'Tunnelrollen vun der Client-Gateway an der AWS-Gateway, an de Kaf vun dëser Verbindung ersetzt net all Fernzougangsdesign. Client VPN dokumentéiert en verwalt Ennpunkt mat Client-Personae, während d'Autorisatiounsregelen an d'Zilrouten Är bleiwen. AWS hält den Ennpunkt an seng Zertifikater um Lafen; wien op wéi eng Applikatioun Zougang huet, ass nach ëmmer eng Autorisatiounsregel, déi Dir schreift an ënnerhalts.
Wielt tëscht de Produkter op fënnef Achsen: wéi eng Roll jiddwereen spillt, wéi eng Protokoller en akzeptéiert, wéi eng Identitéitsquell en erwaart, wéi den Trafic weidergeleet gëtt a wéi d'Disponibilitéit geliwwert gëtt. Ignoréiert all eenzel Duerchflosszuel, déi an engem Forumthread zitéiert gëtt, well déi publizéiert Kapazitéit sech mam Service beweegt. An hutt net un, datt en verwalt Tunnelpaar d'Verhalen vun engem beliebige Gast-Client ännert.
Wielt d'Roll virum Produkt
Schreift ee Saz, deen d'Richtung nennt: dës VM trëtt engem Netzwierk bäi, dës VM hëlt Clienten un, oder eng AWS-Gateway verbënnt definéiert Netzwierker.
Dee Saz entscheet d'Produktlëscht, den Eegentümer vun der Software an d'Feelermodusen, déi Dir wäert debuggen. Wann d'Ufuerderung ass, datt Fernbenotzer eng Applikatioun erreechen, ass e Client, deen an der VM vun der Applikatioun installéiert ass, déi falsch Form. Wann d'Ufuerderung ass, datt eng VM en Partnernetz erreecht, ass eng verwalt Site-zu-Site-Gateway méi Maschinn wéi d'Aufgab brauch. Béid Äntwerten si legitim; nëmmen eng passt zu deem Saz, deen Dir geschriwwen hutt.