AWS Client VPN vai Site-to-Site: pārbaudiet, kas atver savienojumu

To nosaka četras pārbaudes, un neviena no tām nav protokola nosaukums. Kas atver savienojumu, ko AWS autentificē, kā savienojums pievienojas jūsu tīklam un kāda maršrutēšana un politika nāk līdzi. Atbildiet uz tiem secībā, un produkta izvēle parasti izdara pati sevi; atbildiet pēc tam, kad esat jau nopircis dizainu, un jūs aizstāvēsiet tuneli, kas atrisina nepareizo problēmas pusi. Neviena no četrām nelūdz jums izvēlēties šifrējumu, tāpēc dizains, kas sākas ar protokolu, parasti ir zīme, ka prasības nekad nav pierakstītas.

Veiciet katru pārbaudi pret faktisko galapunktu, klientu un adrešu saimi, kuru plānojat izmantot, nevis pret kategoriju. Pārvaldītie VPN produkti atšķiras no OpenVPN un IPsec būvblokiem, uz kuriem tie līdzinās.

Pirmkārt, kas atver savienojumu

Ja piekļuve nepieciešama klēpjdatoram, tālrunim vai viena administratora darbstacijai, savienojums sākas attālinātā ierīcē un dizains ir attālināta klienta piekļuve. Ja piekļuve nepieciešama filiālei, kas pilna ar mašīnām aiz viena maršrutētāja, savienojums sākas šajā maršrutētājā un dizains ir vārteja pret vārteju. Šī ir pārbaude, kas izšķir lielāko daļu gadījumu, un tieši to cilvēki izlaiž, kad piegādātāja prezentācija jau ir iekadrējusi sarunu ap šifrējumiem.

Apstājieties šeit, ja nevarat nosaukt komponentu, kas to sāk. Dizains, kas mēģina apkalpot abus gadījumus ar vienu tuneli, parasti beidzas ar klienta sesiju, kas izliekas par vārteju.

Otrkārt, ko AWS autentificē

Ar Client VPN AWS autentificē konfigurēto klienta vai lietotāja identitāti: sertifikātus, direktoriju vai federētu identitāti, atkarībā no iestatījumiem. Ar Site-to-Site VPN AWS autentificē vārtejas partnera identitāti. Šī atšķirība nav kosmētiska. Viens modelis mērogojas, pievienojot lietotājus un atsaucot viņu akreditācijas datus; otrs mērogojas, uzticoties visam, kas stāv aiz vienas vārtejas.

Vārtejas autentifikācija neautentificē katru darbinieku vai lietojumprogrammu aiz tās, tāpēc saglabājiet lietojumprogrammu identitātes un piekļuvi resursu līmenī arī tad, kad pats tunelis tiek uzskatīts par uzticamu. Filiāle, kuras maršrutētājam ir derīga partnera identitāte, nav automātiski lasāma tā, it kā katrs galds šajā ēkā būtu pilnvarots.

Treškārt, kā savienojums pievienojas

Client VPN pievienojas caur VPC apakštīklu asociācijām vai atbalstītu tiešu Transit Gateway pievienojumu. Site-to-Site VPN pievienojas AWS VPN mērķim, parasti virtuālai privātai vārtejai vai Transit Gateway. Client VPN arhitektūras rokasgrāmata dokumentē Transit Gateway opciju, un tās esamība nepārvērš klēpjdatora sesiju par filiāles vārteju un neizņem iepriekš aprakstīto klienta autentifikāciju un autorizāciju.

Pārbaudiet pievienojumu, ko jūsu konts un reģions patiešām atbalsta, pirms projektējat maršrutus ap to, un pēc tam pārbaudiet, kam šis pievienojums pieder. Opcija, kas pastāv dokumentācijā, bet atrodas tīklā, ko nevarat konfigurēt, nav opcija.

Ceturtkārt, kāda maršrutēšana un politika nāk līdzi

Client VPN sniedz klientu savienojumu pārvaldību un autorizācijas noteikumus mērķa tīkliem, kurus atļaujat. Savienotam lietotājam joprojām vajadzīgs paredzētais maršruts uz galapunktu, to atļaujošs autorizācijas noteikums un piekļuve, ko pieprasa pats resurss. Site-to-Site VPN maršrutē starp tīkliem, ko pārstāv klienta vārteja, izmantojot atbalstītus statiskos maršrutus vai BGP atkarībā no dizaina, tāpēc atsevišķām mašīnām aiz filiāles maršrutētāja nav katrai jāpiesakās kā klientam.

Neizseciniet neatbalstītu uzvedību no kategorijas nevienā virzienā. Attālinātās piekļuves VPN nav universāli nespējīgi pārvadāt atgriezenisko datplūsmu vai atbalstīt vārtejas izkārtojumus, un IPsec NET tiek automātiski bloķēts ar NAT — AWS dokumentē NAT šķērsošanu un klienta vārtejas prasības, un reālais ierobežojums ir atbalstītā vārtejas konfigurācija. Pārbaudiet sava galapunkta ierobežojumus pirms pieprasāt savienojumus, kas sākas pret klientiem, vai pārsūtīt LAN aiz vienas sesijas. Tāda pati piesardzība attiecas uz adrešu saimēm: galapunkts, kas darbojas IPv4, nenozīmē IPv6 ceļu, tāpēc apstipriniet saimi, par kuru jūsu klients vai vārteja patiešām vienosies.

Site-to-Site VPN dod divus tuneļus vienam savienojumam, un šī dublēšanās ir dizaina uzdevums, nevis funkcija, ko var pieņemt. Klienta vārtejas darbība, maršrutu pārslēgšanās kļūmes gadījumā un testu pārklājums visi ir jāplāno; vienas klēpjdatora sesijas salīdzināšana ar abstraktu VPN serveri neko nepierāda par nevienu no tiem.

Kur satiekas abi dizaini

Pakalpojumi nav savstarpēji izslēdzoši, un ierastā ražošanas forma izmanto abus: darbinieki Client VPN, filiāļu tīkli Site-to-Site, ar skaidriem maršrutiem un piekļuves politiku starp galamērķiem, kuriem jāsarunājas. Tabula ir četru pārbaužu kopsavilkums, nevis to veikšanas aizstājējs.

Viena lieta, ko neaizstāj neviens no diviem produktiem: TLS uz lietojumprogrammu, kuras šifrēšanas prasība sniedzas tālāk par VPN galapunktu. Ja jūsu atbilstības apjoms beidzas lietojumprogrammā, tunelis ir transports un sertifikāts joprojām ir kontrole.

Pierakstiet četras atbildes pirms dizaina pārskatīšanas, katru vienā rindā. Kad divas no tām nesaskan — teiksim, lietotāja autentificēts klienta dizains un filiāles mēroga maršrutēšanas prasība —, šī nesaskanēšana ir atradums, un to redzēt tagad ir lētāk nekā pārejas laikā.