AWS Client VPN ar Site-to-Site: patikrinkite, kas atidaro ryšį

Tai lemia keturi patikrinimai, ir nė vienas jų nėra protokolo pavadinimas. Kas atidaro ryšį, ką AWS autentifikuoja, kaip ryšys prijungiamas prie jūsų tinklo ir koks maršrutizavimas bei politika su juo ateina. Atsakykite į tai iš eilės ir produkto pasirinkimas dažniausiai padaromas pats; atsakykite po to, kai jau nusipirkote dizainą, ir ginsite tunelį, kuris sprendžia ne tą problemos pusę. Nė vienas iš keturių neprašo jūsų pasirinkti šifro, todėl nuo protokolo pradedantis dizainas dažniausiai yra ženklas, kad reikalavimai niekada nebuvo užrašyti.

Kiekvieną patikrinimą atlikite faktiniam galiniam taškui, klientui ir adresų šeimai, kurią ketinate naudoti, o ne kategorijai. Valdomi VPN produktai skiriasi nuo OpenVPN ir IPsec statybinių blokų, į kuriuos jie panašūs.

Pirma, kas atidaro ryšį

Jei prieigos reikia nešiojamajam kompiuteriui, telefonui ar vieno administratoriaus darbo vietai, ryšys prasideda nuotoliniame įrenginyje ir dizainas yra nuotolinė kliento prieiga. Jei prieigos reikia filialui, pilnam mašinų už vieno maršrutizatoriaus, ryšys prasideda tame maršrutizatoriuje ir dizainas yra tinklų sietuvas prie tinklų sietuvo. Tai patikrinimas, kuris išsprendžia daugumą atvejų, ir būtent jį žmonės praleidžia, kai tiekėjo pristatymas jau įrėmino pokalbį apie šifrus.

Sustokite čia, jei negalite įvardyti komponento, kuris inicijuoja. Dizainas, kuris bando aptarnauti abu atvejus vienu tuneliu, dažniausiai baigiasi kliento sesija, kuri apsimeta tinklų sietuvu.

Antra, ką AWS autentifikuoja

Naudojant Client VPN, AWS autentifikuoja sukonfigūruotą kliento arba naudotojo tapatybę: sertifikatus, katalogą arba federuotą tapatybę, priklausomai nuo sąrankos. Naudojant Site-to-Site VPN, AWS autentifikuoja tinklų sietuvo partnerio tapatybę. Tas skirtumas nėra kosmetinis. Vienas modelis plečiasi pridedant naudotojų ir atšaukiant jų prisijungimo duomenis; kitas plečiasi pasitikint viskuo, kas stovi už vieno tinklų sietuvo.

Tinklų sietuvo autentifikavimas neautentifikuoja kiekvieno darbuotojo ar programos už jo, todėl išsaugokite programų tapatybes ir prieigą resursų lygmeniu net tada, kai pats tunelis laikomas patikimu. Filialas, kurio maršrutizatorius turi galiojančią partnerio tapatybę, neturėtų būti automatiškai skaitomas taip, tarsi kiekvienas to pastato stalas būtų įgaliotas.

Trečia, kaip ryšys prijungiamas

Client VPN prijungiamas per VPC potinklių asociacijas arba palaikomą tiesioginį Transit Gateway prijungimą. Site-to-Site VPN prijungiamas prie AWS VPN tikslo, dažniausiai virtualaus privataus tinklų sietuvo arba Transit Gateway. Client VPN architektūros vadovas dokumentuoja Transit Gateway parinktį, ir jos buvimas nepaverčia nešiojamojo kompiuterio sesijos filialo tinklų sietuvu ir nepašalina aukščiau aprašyto kliento autentifikavimo bei autorizavimo.

Patikrinkite, kokį prijungimą jūsų paskyra ir regionas iš tikrųjų palaiko, prieš projektuodami maršrutus aplink jį, tada patikrinkite, kam tas prijungimas priklauso. Parinktis, kuri egzistuoja dokumentacijoje, bet yra tinkle, kurio negalite konfigūruoti, nėra parinktis.

Ketvirta, koks maršrutizavimas ir politika su juo ateina

Client VPN atneša klientų ryšių valdymą ir autorizavimo taisykles tiksliniams tinklams, kuriuos leidžiate. Prisijungusiam naudotojui vis dar reikia numatyto maršruto iki galinio taško, jį leidžiančios autorizavimo taisyklės ir prieigos, kurios reikalauja pats resursas. Site-to-Site VPN maršrutizuoja tarp tinklų, kuriuos atstovauja kliento tinklų sietuvas, naudodamas palaikomus statinius maršrutus arba BGP, priklausomai nuo dizaino, todėl atskiroms mašinoms už filialo maršrutizatoriaus nereikia kiekvienai atskiro kliento prisijungimo.

Neišveskite nepalaikomo elgesio iš kategorijos nė viena kryptimi. Nuotolinės prieigos VPN nėra universaliai nepajėgūs perduoti grįžtamojo srauto ar palaikyti tinklų sietuvo schemų, o IPsec nėra automatiškai blokuojamas NAT — AWS dokumentuoja NAT praėjimą ir kliento tinklų sietuvo reikalavimus, o tikrasis apribojimas yra palaikoma tinklų sietuvo konfigūracija. Patikrinkite savo galinio taško apribojimus prieš reikalaudami ryšių, inicijuojamų klientų link, arba persiųsdami LAN už vienos sesijos. Toks pat atsargumas galioja adresų šeimoms: galinis taškas, veikiantis per IPv4, nereiškia IPv6 kelio, todėl patvirtinkite šeimą, dėl kurios jūsų klientas ar tinklų sietuvas iš tikrųjų derėsis.

Site-to-Site VPN suteikia du tunelius vienam ryšiui, ir ta dubliavimo galimybė yra dizaino užduotis, o ne funkcija, kurią galima numanyti. Kliento tinklų sietuvo veikimas, maršrutų perjungimas gedimo atveju ir testavimo aprėptis turi būti suplanuoti; vienos nešiojamojo kompiuterio sesijos palyginimas su abstrakčiu VPN serveriu nieko neįrodo apie nė vieną iš jų.

Kur susitinka du dizainai

Paslaugos nėra išskirtinės, ir įprasta gamybinė forma naudoja abi: darbuotojai Client VPN, filialų tinklai Site-to-Site, su aiškiais maršrutais ir prieigos politika tarp tikslų, kurie turi kalbėtis. Lentelė yra keturių patikrinimų santrauka, o ne jų atlikimo pakaitalas.

Vienas dalykas, kurio nekeičia nė vienas produktas: TLS į programą, kurios šifravimo reikalavimas viršija VPN galinį tašką. Jei jūsų atitikties apimtis baigiasi programoje, tunelis yra transportas, o sertifikatas vis dar yra kontrolė.

Užsirašykite keturis atsakymus prieš dizaino apžvalgą, po vieną eilutę. Kai du iš jų nesutaria — tarkime, naudotojo autentifikuotas kliento dizainas ir filialo dydžio maršrutizavimo reikalavimas — tas nesutarimas ir yra radinys, ir jį pigiau pamatyti dabar nei perėjimo metu.