AWS Client VPN അല്ലെങ്കിൽ Site-to-Site: കണക്ഷൻ ആരു തുറക്കുന്നു എന്ന് പരിശോധിക്കുക
Client VPN ഒരു ഉപകരണത്തെയോ ഉപയോക്താവിനെയോ പ്രാമാണീകരിക്കുന്നു; Site-to-Site ഒരു ഗേറ്റ്‌വേയെ AWS-ലേക്ക് ബന്ധിപ്പിക്കുന്നു. നാല് പരിശോധനകൾ നിങ്ങളുടെ ലാപ്‌ടോപ്പിനോ ശാഖയ്ക്കോ ഏതാണ് യഥാർത്ഥത്തിൽ വേണ്ടതെന്ന് നിർണ്ണയിക്കുന്നു.
ഇത് നാല് പരിശോധനകൾ തീരുമാനിക്കുന്നു, അവയിലൊന്നും പ്രോട്ടോക്കോളിന്റെ പേരല്ല. കണക്ഷൻ ആരു തുറക്കുന്നു, AWS എന്താണ് പ്രാമാണീകരിക്കുന്നത്, കണക്ഷൻ നിങ്ങളുടെ നെറ്റ്‌വർക്കിലേക്ക് എങ്ങനെ ചേരുന്നു, അതിനൊപ്പം ഏത് റൂട്ടിംഗും നയവും വരുന്നു. ഇവയ്ക്ക് ക്രമത്തിൽ ഉത്തരം നൽകുക, ഉൽപ്പന്ന തിരഞ്ഞെടുപ്പ് സാധാരണയായി സ്വയം നടക്കും; രൂപകൽപ്പന വാങ്ങിയ ശേഷം ഉത്തരം നൽകിയാൽ, പ്രശ്നത്തിന്റെ തെറ്റായ പകുതി പരിഹരിക്കുന്ന ഒരു ടണൽ നിങ്ങൾ സമർത്ഥിക്കും. നാലിൽ ഒന്നും നിങ്ങളോട് സൈഫർ തിരഞ്ഞെടുക്കാൻ ആവശ്യപ്പെടുന്നില്ല, അതുകൊണ്ടാണ് പ്രോട്ടോക്കോളിൽ തുടങ്ങുന്ന രൂപകൽപ്പന ആവശ്യകതകൾ ഒരിക്കലും എഴുതിയിട്ടില്ല എന്നതിന്റെ സൂചനയാകുന്നത്.
ഓരോ പരിശോധനയും നിങ്ങൾ ഉപയോഗിക്കാൻ ഉദ്ദേശിക്കുന്ന യഥാർത്ഥ എൻഡ്‌പോയിന്റ്, ക്ലയന്റ്, വിലാസ കുടുംബം എന്നിവയ്ക്കെതിരെ നടത്തുക, വിഭാഗത്തിനെതിരെയല്ല. മാനേജുചെയ്ത VPN ഉൽപ്പന്നങ്ങൾ അവ സാമ്യമുള്ള OpenVPN, IPsec ബിൽഡിംഗ് ബ്ലോക്കുകളിൽ നിന്ന് വ്യത്യസ്തമാണ്.
ആദ്യം, കണക്ഷൻ ആരു തുറക്കുന്നു
ആക്‌സസ് ആവശ്യമുള്ളത് ഒരു ലാപ്‌ടോപ്പോ, ഫോണോ, ഒരു അഡ്മിനിസ്ട്രേറ്ററുടെ വർക്ക്‌സ്റ്റേഷനോ ആണെങ്കിൽ, കണക്ഷൻ ഒരു ദൂര ഉപകരണത്തിൽ തുടങ്ങുന്നു, രൂപകൽപ്പന ദൂര ക്ലയന്റ് ആക്‌സസ് ആണ്. ആക്‌സസ് ആവശ്യമുള്ളത് ഒരു റൗട്ടറിന് പിന്നിലെ യന്ത്രങ്ങൾ നിറഞ്ഞ ശാഖയാണെങ്കിൽ, കണക്ഷൻ ആ റൗട്ടറിൽ തുടങ്ങുന്നു, രൂപകൽപ്പന ഗേറ്റ്‌വേ-ടു-ഗേറ്റ്‌വേ ആണ്. ഇതാണ് മിക്ക കേസുകളും തീരുമാനിക്കുന്ന പരിശോധന, വിൽപ്പനക്കാരന്റെ അവതരണം സംഭാഷണം ഇതിനകം സൈഫറുകൾക്ക് ചുറ്റും ചട്ടക്കൂട്ടിയിരിക്കുമ്പോൾ ആളുകൾ ഒഴിവാക്കുന്നതും ഇതുതന്നെ.
ആരംഭിക്കുന്ന ഘടകത്തിന്റെ പേര് പറയാൻ കഴിയില്ലെങ്കിൽ ഇവിടെ നിർത്തുക. ഒരു ടണൽ കൊണ്ട് രണ്ട് സാഹചര്യങ്ങളും കൈകാര്യം ചെയ്യാൻ ശ്രമിക്കുന്ന രൂപകൽപ്പന സാധാരണയായി തന്നെത്താൻ ഗേറ്റ്‌വേ എന്ന് നടിക്കുന്ന ഒരു ക്ലയന്റ് സെഷനിൽ അവസാനിക്കുന്നു.
രണ്ടാമത്, AWS എന്താണ് പ്രാമാണീകരിക്കുന്നത്
Client VPN-ൽ AWS കോൺഫിഗർ ചെയ്ത ക്ലയന്റ് അല്ലെങ്കിൽ ഉപയോക്തൃ ഐഡന്റിറ്റി പ്രാമാണീകരിക്കുന്നു: സർട്ടിഫിക്കറ്റുകൾ, ഒരു ഡയറക്ടറി അല്ലെങ്കിൽ ഒരു ഫെഡറേറ്റഡ് ഐഡന്റിറ്റി, സെറ്റപ്പ് അനുസരിച്ച്. Site-to-Site VPN-ൽ AWS ഗേറ്റ്‌വേ പിയർ ഐഡന്റിറ്റി പ്രാമാണീകരിക്കുന്നു. ആ വ്യത്യാസം ഉപരിപ്ലവമല്ല. ഒരു മാതൃക ഉപയോക്താക്കളെ ചേർത്തും അവരുടെ ക്രെഡൻഷ്യലുകൾ റദ്ദാക്കിയും സ്കെയിൽ ചെയ്യുന്നു; മറ്റൊന്ന് ഒരു ഗേറ്റ്‌വേയ്ക്ക് പിന്നിലുള്ള എല്ലാറ്റിലും വിശ്വസിച്ച് സ്കെയിൽ ചെയ്യുന്നു.
ഗേറ്റ്‌വേ പ്രാമാണീകരണം അതിന് പിന്നിലുള്ള ഓരോ ജീവനക്കാരനെയോ ആപ്ലിക്കേഷനെയോ പ്രാമാണീകരിക്കുന്നില്ല, അതിനാൽ ടണൽ തന്നെ വിശ്വസനീയമായാലും ആപ്ലിക്കേഷൻ ഐഡന്റിറ്റികളും റിസോഴ്‌സ് തലത്തിലുള്ള ആക്‌സസ്സും നിലനിർത്തുക. റൗട്ടറിന് സാധുവായ പിയർ ഐഡന്റിറ്റിയുള്ള ഒരു ശാഖയെ, ആ കെട്ടിടത്തിലെ എല്ലാ മേശയ്ക്കും അധികാരം നൽകിയതായി സ്വയം വായിക്കരുത്.
മൂന്നാമത്, കണക്ഷൻ എങ്ങനെ ചേരുന്നു
Client VPN, VPC സബ്‌നെറ്റ് അസോസിയേഷനുകളിലൂടെയോ പിന്തുണയുള്ള നേരിട്ടുള്ള Transit Gateway അറ്റാച്ച്‌മെന്റിലൂടെയോ ചേരുന്നു. Site-to-Site VPN, AWS VPN ലക്ഷ്യത്തിലേക്ക്, സാധാരണയായി ഒരു വെർച്വൽ സ്വകാര്യ ഗേറ്റ്‌വേയിലേക്കോ Transit Gateway-ലേക്കോ ചേരുന്നു. Client VPN ആർക്കിടെക്‌ചർ ഗൈഡ് Transit Gateway ഓപ്ഷൻ രേഖപ്പെടുത്തുന്നു, അതിന്റെ സാന്നിധ്യം ഒരു ലാപ്‌ടോപ്പ് സെഷനെ ശാഖാ ഗേറ്റ്‌വേയാക്കി മാറ്റുന്നില്ല, മുകളിൽ വിവരിച്ച ക്ലയന്റ് പ്രാമാണീകരണവും അധികാരവും നീക്കം ചെയ്യുന്നുമില്ല.
റൂട്ടുകൾ രൂപകൽപ്പന ചെയ്യുന്നതിന് മുമ്പ് നിങ്ങളുടെ അക്കൗണ്ടും പ്രദേശവും യഥാർത്ഥത്തിൽ ഏത് അറ്റാച്ച്‌മെന്റിനെ പിന്തുണയ്ക്കുന്നു എന്ന് പരിശോധിക്കുക, തുടർന്ന് ആ അറ്റാച്ച്‌മെന്റ് ആരുടേതാണെന്ന് പരിശോധിക്കുക. ഡോക്യുമെന്റേഷനിലുള്ളതും എന്നാൽ നിങ്ങൾക്ക് കോൺഫിഗർ ചെയ്യാൻ കഴിയാത്ത ഒരു നെറ്റ്‌വർക്കിൽ ഇരിക്കുന്നതുമായ ഒരു ഓപ്ഷൻ ഓപ്ഷനല്ല.
നാലാമത്, അതിനൊപ്പം ഏത് റൂട്ടിംഗും നയവും വരുന്നു
Client VPN നിങ്ങൾ അനുവദിക്കുന്ന ലക്ഷ്യ നെറ്റ്‌വർക്കുകൾക്ക് ക്ലയന്റ് കണക്ഷൻ മാനേജ്‌മെന്റും അധികാര നിയമങ്ങളും കൊണ്ടുവരുന്നു. കണക്ട് ചെയ്ത ഉപയോക്താവിന് ഇപ്പോഴും ഉദ്ദേശിച്ച എൻഡ്‌പോയിന്റ് റൂട്ട്, അത് അനുവദിക്കുന്ന ഒരു അധികാര നിയമം, റിസോഴ്‌സ് തന്നെ ആവശ്യപ്പെടുന്ന ആക്‌സസ് എന്നിവ വേണം. Site-to-Site VPN കസ്റ്റമർ ഗേറ്റ്‌വേ പ്രതിനിധീകരിക്കുന്ന നെറ്റ്‌വർക്കുകൾക്കിടയിൽ റൂട്ട് ചെയ്യുന്നു, രൂപകൽപ്പന അനുസരിച്ച് പിന്തുണയുള്ള സ്റ്റാറ്റിക് റൂട്ടുകളോ BGP-യോ ഉപയോഗിച്ച്, അതിനാൽ ശാഖാ റൗട്ടറിന് പിന്നിലെ വ്യക്തിഗത യന്ത്രങ്ങൾക്ക് ഓരോന്നിനും ക്ലയന്റ് ലോഗിൻ ആവശ്യമില്ല.
ഏത് ദിശയിലും വിഭാഗത്തിൽ നിന്ന് പിന്തുണയില്ലാത്ത സ്വഭാവം അനുമാനിക്കരുത്. ദൂര ആക്‌സസ് VPN-കൾ തിരികെ വരുന്ന ട്രാഫിക് കൊണ്ടുപോകാനോ ഗേറ്റ്‌വേ ക്രമീകരണങ്ങൾ പിന്തുണയ്ക്കാനോ സാർവത്രികമായി അശക്തമല്ല, IPsec NAT കൊണ്ട് സ്വയം തടയപ്പെടുന്നുമില്ല — AWS NAT ട്രാവേഴ്സലും കസ്റ്റമർ ഗേറ്റ്‌വേ ആവശ്യകതകളും രേഖപ്പെടുത്തുന്നു, യഥാർത്ഥ പരിധി പിന്തുണയുള്ള ഗേറ്റ്‌വേ കോൺഫിഗറേഷനാണ്. ക്ലയന്റുകളിലേക്ക് തുടങ്ങുന്ന കണക്ഷനുകൾ ആവശ്യപ്പെടുന്നതിനോ ഒരു സെഷന് പിന്നിലേക്ക് LAN ഫോർവേഡ് ചെയ്യുന്നതിനോ മുമ്പ് നിങ്ങളുടെ എൻഡ്‌പോയിന്റിന്റെ നിയന്ത്രണങ്ങൾ പരിശോധിക്കുക. അതേ മുൻകരുതൽ വിലാസ കുടുംബങ്ങൾക്കും ബാധകമാണ്: IPv4-ൽ പ്രവർത്തിക്കുന്ന എൻഡ്‌പോയിന്റ് IPv6 പാത അർത്ഥമാക്കുന്നില്ല, അതിനാൽ നിങ്ങളുടെ ക്ലയന്റോ ഗേറ്റ്‌വേയോ യഥാർത്ഥത്തിൽ ചർച്ച ചെയ്യുന്ന കുടുംബം സ്ഥിരീകരിക്കുക.
Site-to-Site VPN ഓരോ കണക്ഷനും രണ്ട് ടണലുകൾ നൽകുന്നു, ആ റിഡണ്ടൻസി ഊഹിക്കാവുന്ന ഒരു സവിശേഷതയല്ല, രൂപകൽപ്പനയുടെ ജോലിയാണ്. കസ്റ്റമർ ഗേറ്റ്‌വേ പ്രവർത്തനം, റൂട്ട് ഫെയിൽഓവർ, പരിശോധനാ വ്യാപ്തി എന്നിവയെല്ലാം ആസൂത്രണം ചെയ്യണം; ഒരു ലാപ്‌ടോപ്പ് സെഷനെ ഒരു അമൂർത്ത VPN സെർവറുമായി താരതമ്യം ചെയ്യുന്നത് രണ്ടിനെക്കുറിച്ചും ഒന്നും തെളിയിക്കുന്നില്ല.
രണ്ട് രൂപകൽപ്പനകൾ കണ്ടുമുട്ടുന്നിടത്ത്
സേവനങ്ങൾ പരസ്പര-വിലക്കല്ല, സാധാരണ ഉത്പാദന രൂപം രണ്ടും ഉപയോഗിക്കുന്നു: ജീവനക്കാർ Client VPN-ൽ, ശാഖാ നെറ്റ്‌വർക്കുകൾ Site-to-Site-ൽ, സംസാരിക്കേണ്ട ലക്ഷ്യങ്ങൾക്കിടയിൽ വ്യക്തമായ റൂട്ടുകളും ആക്‌സസ് നയവും സഹിതം. പട്ടിക നാല് പരിശോധനകളുടെ സാരാംശമാണ്, അവ നടത്തുന്നതിനുള്ള പകരമല്ല.
| Question | AWS Client VPN | AWS Site-to-Site VPN |
|---|---|---|
| Who establishes it? | A client on a remote device | A customer gateway device or appliance |
| What is authenticated? | The client or user identity | The gateway peer identity |
| How does it attach? | VPC subnet association or Transit Gateway | Virtual private gateway or Transit Gateway |
| What carries the path? | An OpenVPN-based client tunnel | IPsec tunnels to AWS endpoints |
രണ്ട് ഉൽപ്പന്നങ്ങളിൽ ഒന്നും പകരം വയ്ക്കാത്ത ഒരു കാര്യം: എൻക്രിപ്ഷൻ ആവശ്യകത VPN എൻഡ്‌പോയിന്റിന് അപ്പുറം നീളുന്ന ഒരു ആപ്ലിക്കേഷനിലേക്കുള്ള TLS. നിങ്ങളുടെ അനുസരണ പരിധി ആപ്ലിക്കേഷനിൽ അവസാനിക്കുന്നുവെങ്കിൽ, ടണൽ ഗതാഗതമാണ്, സർട്ടിഫിക്കറ്റ് ഇപ്പോഴും നിയന്ത്രണമാണ്.
രൂപകൽപ്പന അവലോകനത്തിന് മുമ്പ് നാല് ഉത്തരങ്ങളും എഴുതി വയ്ക്കുക, ഓരോന്നും ഒരു വരിയിൽ. അവയിൽ രണ്ടെണ്ണം വിരുദ്ധമാകുമ്പോൾ — ഉദാഹരണത്തിന്, ഉപയോക്തൃ-പ്രാമാണീകൃത ക്ലയന്റ് രൂപകൽപ്പനയും ശാഖാ വലിപ്പമുള്ള റൂട്ടിംഗ് ആവശ്യകതയും — ആ വൈരുദ്ധ്യമാണ് കണ്ടെത്തൽ, കട്ടോവറിനിടയിൽ കാണുന്നതിനേക്കാൾ ഇപ്പോൾ കാണുന്നത് വിലകുറവാണ്.