AWS Client VPN или Site-to-Site: проверете кој ја отвора врската

Ова го одредуваат четири проверки и ниту една од нив не е името на протоколот. Кој ја отвора врската, што автентификува AWS, како врската се приклучува на вашата мрежа и какво насочување и политика доаѓаат со неа. Одговорете на овие по ред и изборот на производ обично се прави сам; одговорете откако веќе сте купиле дизајн и ќе браните тунел што ја решава погрешната половина од проблемот. Ниту една од четирите не бара од вас да изберете шифра, затоа дизајнот што започнува со протоколот обично е знак дека барањата никогаш не биле запишани.

Изведете ја секоја проверка врз вистинската крајна точка, клиент и фамилија адреси што планирате да ги користите, а не врз категоријата. Управуваните VPN производи се разликуваат од градбените блокови OpenVPN и IPsec на кои личат.

Прво, кој ја отвора врската

Ако тоа на што му треба пристап е преносен компјутер, телефон или работна станица на еден администратор, врската започнува од далечен уред и дизајнот е далечински клиентски пристап. Ако тоа на што му треба пристап е филијала полна со машини зад еден рутер, врската започнува од тој рутер и дизајнот е порта-кон-порта. Ова е проверката што ги решава повеќето случаи и токму неа луѓето ја прескокнуваат кога презентацијата на добавувачот веќе го врамила разговорот околу шифри.

Запрете тука ако не можете да ја именувате компонентата што започнува. Дизајн што се обидува да ги опслужи двата случаи со еден тунел обично завршува со клиентска сесија што се преправа дека е порта.

Второ, што автентификува AWS

Со Client VPN AWS ја автентификува конфигурираната клиентска или корисничка идентичност: сертификати, именик или федеративна идентичност, зависно од поставувањето. Со Site-to-Site VPN AWS ја автентификува идентичноста на партнерот на портата. Таа разлика не е козметичка. Едниот модел се скалира со додавање корисници и отповикување на нивните акредитиви; другиот се скалира со доверба во сето она што стои зад една порта.

Автентикацијата на портата не го автентификува секој вработен или апликација зад неа, затоа задржете ги идентитетите на апликациите и пристапот на ниво на ресурс дури и кога самиот тунел се смета за доверлив. Филијала чиј рутер има валидна идентичност на партнер не треба автоматски да се чита како секоја маса во таа зграда да е овластена.

Трето, како врската се приклучува

Client VPN се приклучува преку асоцијации на подмрежи во VPC или поддржано директно приклучување кон Transit Gateway. Site-to-Site VPN се приклучува на цел на AWS VPN, најчесто виртуелна приватна порта или Transit Gateway. Водичот за архитектура на Client VPN ја документира опцијата Transit Gateway и нејзиното постоење не претвора лаптоп-сесија во филијална порта ниту ги отстранува автентикацијата и авторизацијата на клиентот опишани погоре.

Проверете го приклучувањето што вашата сметка и регион навистина го поддржуваат пред да дизајнирате рути околу него, потоа проверете чие е тоа приклучување. Опција што постои во документацијата, но се наоѓа на мрежа што не можете да ја конфигурирате, не е опција.

Четврто, какво насочување и политика доаѓаат со неа

Client VPN носи управување со клиентски врски и правила за авторизација за одредишните мрежи што ги дозволувате. Поврзаниот корисник сè уште бара предвидената рута до крајната точка, правило за авторизација што ја дозволува и пристапот што го бара самиот ресурс. Site-to-Site VPN насочува меѓу мрежи претставени од клиентска порта, користејќи поддржани статични рути или BGP зависно од дизајнот, така што поединечните машини зад филијалниот рутер не бараат секоја своја клиентска најава.

Не изведувајте неподдржано однесување од категоријата во ниту една насока. VPN за далечински пристап не се универзално неспособни да носат повратен сообраќај или да поддржуваат портни поставки, а IPsec не се блокира автоматски од NAT — AWS документира поминување низ NAT и барања за клиентска порта, а вистинското ограничување е поддржаната конфигурација на портата. Проверете ги ограничувањата за вашата крајна точка пред да барате врски иницирани кон клиенти или да проследите LAN зад една сесија. Истото внимание важи и за фамилиите адреси: крајна точка што работи преку IPv4 не значи патека IPv6, затоа потврдете ја фамилијата за која вашиот клиент или порта навистина ќе преговараат.

Site-to-Site VPN ви дава два тунели по врска и таа резерва е дизајнерска задача, а не функција што може да се претпостави. Работата на клиентската порта, префрлувањето рути при дефект и покриеноста со тестови сите мора да се планираат; споредувањето на една лаптоп-сесија со апстрактен VPN сервер не докажува ништо за ниту еден од двата.

Каде се среќаваат двата дизајни

Услугите не се исклучиви и вообичаената производна форма ги користи двете: вработени на Client VPN, филијални мрежи на Site-to-Site, со експлицитни рути и политика за пристап меѓу одредиштата што мора да разговараат. Табелата е резиме на четирите проверки, а не замена за нивно спроведување.

Едно нешто што ниту еден од двата производи не го заменува: TLS кон апликација чие барање за шифрирање оди подалеку од крајната точка на VPN. Ако обемот на усогласеност ви завршува кај апликацијата, тунелот е транспорт, а сертификатот сè уште е контролата.

Запишете ги четирите одговори пред прегледот на дизајнот, по една линија секој. Кога два од нив не се согласуваат — да речеме, клиентски дизајн автентификуван со корисник и барање за насочување со големина на филијала — тоа несогласување е наодот и полесно е да се види сега отколку за време на преминот.