EC2 Windows: VPN klients, VPN serveris vai AWS vārteja?
Windows EC2 instance var darbināt VPN programmatūru, bet klients, pašpārvaldīts serveris un AWS vārteja ir dažādas lomas ar dažādiem īpašniekiem.
Komandai ir nepieciešams VPN savienojums lietojumprogrammai, kas darbojas Windows EC2 instancē, tā atrod saderīgu klienta programmatūru, instalē to un pēc tam jautā, kāpēc pārējā VPC daļa to nevar izmantot. Instalācija nostrādāja; loma tā arī netika izlemta. Programmatūra, kas darbojas viesa iekšienē, var būt klients, kas pievienojas kāda cita tīklam, serveris, kas pieņem citus klientus, vai neviens no AWS pārvaldītajiem VPN produktiem, un katra loma jums atstāj citādu darbu.
Simptoms parasti ir nepareizā loma
Biežākais simptoms ir strādājošs tunelis, kas risina nepareizo problēmu. Klients virtuālajā mašīnā dod tai izejošo ceļu; tas nedod jūsu portatīvajam datoram, birojam vai citam apakštīklam ieejas ceļu. Serveris virtuālajā mašīnā dod citiem ieejas ceļu, bet tagad klausītājs, autentifikācija un pārsūtīšana pieder jums.
Pārvaldītie pakalpojumi pārnes pakalpojuma ekspluatāciju uz AWS un atstāj projektēšanu jums. Site-to-Site VPN savieno tīklus caur klienta vārteju un AWS vārteju, un Client VPN dod attālinātām ierīcēm pārvaldītu galapunktu. Abos gadījumos maršruti, autorizācijas noteikumi un identitātes avots ir jūsu konfigurācija, un neviens no produktiem neinstalē vispārējas nozīmes klientu Windows viesa iekšienē.
Ir iespējamas četras formas, un tabula tās atdala pēc tā, kas ar ko savienojas un kas nes ekspluatācijas slogu.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Lasiet rindu, nevis produkta nosaukumu: tā pati Windows instance var būt divās dažādās rindās atkarībā no tā, kāda programmatūra tajā darbojas.
Klients virtuālās mašīnas iekšienē: mašīna pievienojas tīklam
Izejošajam klientam pirms kaut kā instalēšanas ir jāpārbauda Windows būvējums, arhitektūra un draiveru prasības. Klients mainīs maršrutus un DNS instancē, kas var ietekmēt tajā jau darbojošos pakalpojumus, tostarp ceļu, ko izmantojat attālinātai administrēšanai. Pierakstiet adaptera nosaukumu un saskarnes metrikas vērtību, ko klients iestata, jo jaunā saskarne var iegūt prioritāti pār esošo. Ja instanci pārvalda ar sesiju pārvaldnieku, nevis SSH vai RDP, apstipriniet, ka šis ceļš joprojām darbojas pēc klienta pievienošanās.
Pirms klienta iespējošanas izlemiet, kādu datplūsmu tam jānes. Pilns tunelis var notvert administrēšanas sesiju un izslēgt jūs ārā, un sadalītais tunelis var ļaut instancei sasniegt privāto tīklu, kamēr tās pārējā datplūsma iet citu izeju. Pārbaudiet ar pieejamu otru administrēšanas ceļu un pierakstiet maršrutus, ko klients instalē, lai vēlāku izmaiņu varētu izskaidrot.
Serveris virtuālās mašīnas iekšienē: citi klienti tam pievienojas
Pašpārvaldītam serverim klausītājs, sertifikāts vai atslēgas materiāls, lietotāju datubāze un pārsūtīšanas noteikumi pieder jums. Ja serveris pārsūta datplūsmu citiem klientiem, instance kļūst par maršrutētāju, un tam nepieciešama pārsūtīšana viesa līmenī plus maršrutu un drošības grupu izmaiņas AWS līmenī.
Pārbaudiet klausītāju no viesa un vēlreiz no cita apakštīkla, pēc tam pārbaudiet resursdatoru, uz kuru instance pārsūta. Veselīgs vietējais pakalpojums neko nepierāda par pārsūtīto ceļu, tāpēc pierakstiet abus rezultātus izmaiņu piezīmē.
Pārvaldītās vārtejas saglabā pakalpojumu, nevis jūsu piekļuves projektējumu
AWS Site-to-Site VPN dokumentē klienta vārtejas un AWS vārtejas tuneļu lomas, un šī savienojuma iegāde neaizstāj katru attālinātās piekļuves projektējumu. Client VPN dokumentē pārvaldītu galapunktu ar klienta personām, bet autorizācijas noteikumi un mērķa maršruti paliek jūsējie. AWS uztur galapunktu un tā sertifikātus darbībā; kurš drīkst sasniegt kuru lietojumprogrammu, joprojām ir autorizācijas noteikums, ko jūs rakstāt un uzturat.
Izvēlieties starp produktiem piecās asīs: kādu lomu katrs spēlē, kādus protokolus pieņem, kādu identitātes avotu gaida, kā tiek pārsūtīta datplūsma un kā tiek nodrošināta pieejamība. Ignorējiet jebkuru atsevišķu caurlaidspējas skaitli, kas citēts foruma pavedienā, jo publicētā jauda mainās līdz ar pakalpojumu. Un nepieņemiet, ka pārvaldīts tuneļu pāris maina patvaļīga viesa klienta uzvedību.
Izvēlieties lomu pirms produkta
Uzrakstiet vienu teikumu, kas nosauc virzienu: šī VM pievienojas tīklam, šī VM pieņem klientus vai AWS vārteja savieno definētus tīklus.
Šis teikums nosaka produktu īso sarakstu, programmatūras īpašnieku un atteices režīmus, ko atkļūdosiet. Ja prasība ir, lai attālināti lietotāji sasniegtu lietojumprogrammu, lietojumprogrammas VM instalēts klients ir nepareizā forma. Ja prasība ir, lai viena VM sasniegtu partnera tīklu, pārvaldīta vietnes-uz-vietni vārteja ir vairāk mehānismu, nekā uzdevumam nepieciešams. Abas atbildes ir likumīgas; tikai viena no tām atbilst jūsu uzrakstītajam teikumam.