AWS Client VPN эсвэл Site-to-Site: холболтыг хэн нээхийг шалгана уу
Client VPN төхөөрөмж эсвэл хэрэглэгчийг баталгаажуулна; Site-to-Site гарцыг AWS-тай холбоно. Дөрвөн шалгалт таны зөөврийн компьютер эсвэл салбарт аль нь үнэхээр хэрэгтэйг тодорхойлно.
Үүнийг дөрвөн шалгалт шийдэх бөгөөд тэдгээрийн аль нь ч протоколын нэр биш. Холболтыг хэн нээдэг, AWS юуг баталгаажуулдаг, холболт таны сүлжээнд хэрхэн холбогддог, түүнтэй хамт ямар маршрутлал болон бодлого ирдэг. Эдгээрт дарааллаар нь хариулбал бүтээгдэхүүний сонголт ихэвчлэн өөрөө болдог; дизайныг аль хэдийн худалдаж авсны дараа хариулбал асуудлын буруу талыг шийддэг туннелийг хамгаалах болно. Дөрвийн аль нь ч танаас шифр сонгохыг шаарддаггүй, иймээс протоколоос эхэлсэн дизайн нь шаардлагыг хэзээ ч бичээгүйн шинж тэмдэг байдаг.
Шалгалт бүрийг та ашиглахаар төлөвлөж буй бодит төгсгөлийн цэг, клиент, хаягийн гэр бүлд харьцуулан хий, категорид биш. Удирдлагатай VPN бүтээгдэхүүн нь төстэй харагдах OpenVPN болон IPsec барилгын блокуудаас ялгаатай.
Нэгдүгээрт, холболтыг хэн нээдэг
Хэрэв хандалт хэрэгтэй зүйл нь зөөврийн компьютер, утас эсвэл нэг администраторын ажлын станц бол холболт алсын төхөөрөмжөөс эхэлж, дизайн нь алсын клиентийн хандалт юм. Хэрэв хандалт хэрэгтэй зүйл нь нэг маршрутлагчийн ард машингаар дүүрэн салбар бол холболт тэр маршрутлагчаас эхэлж, дизайн нь гарцаас гарц руу юм. Энэ бол ихэнх тохиолдлыг шийддэг шалгалт бөгөөд нийлүүлэгчийн танилцуулга яриаг аль хэдийн шифрүүдийн эргэн тойронд хүрээлсэн үед хүмүүсийн алгасдаг шалгалт нь энэ юм.
Хэрэв эхлүүлж буй бүрэлдэхүүнийг нэрлэж чадахгүй бол энд зогсо. Хоёр тохиолдлыг нэг туннелээр үйлчлэхийг оролдсон дизайн ихэвчлэн өөрийгөө гарц гэж дүрсэлсэн клиентийн сессээр төгсдөг.
Хоёрдугаарт, AWS юуг баталгаажуулдаг
Client VPN-ийн хувьд AWS тохируулсан клиент эсвэл хэрэглэгчийн таних мэдээллийг баталгаажуулна: гэрчилгээ, лавлах эсвэл федерац таних, тохиргооноос хамаарна. Site-to-Site VPN-ийн хувьд AWS гарцын түншийн таних мэдээллийг баталгаажуулна. Энэ ялгаа гадаад төрх биш. Нэг загвар хэрэглэгч нэмж, тэдний нэвтрэх мэдээллийг хүчингүй болгох замаар өргөждөг; нөгөө нь нэг гарцын ард байгаа бүхэнд итгэх замаар өргөждөг.
Гарцын баталгаажуулалт түүний ард байгаа ажилтан, програм бүрийг баталгаажуулдаггүй тул туннель өөрөө итгэмжлэгдсэн ч програмын таних мэдээлэл болон нөөцийн түвшний хандалтыг хэвээр үлдээ. Маршрутлагч нь хүчинтэй түншийн таних мэдээлэлтэй салбарыг тухайн барилгын ширээ бүрд зөвшөөрөл олгосон мэт автоматаар уншиж болохгүй.
Гуравдугаарт, холболт хэрхэн холбогддог
Client VPN нь VPC дэд сүлжээний холбоо эсвэл дэмжигдсэн шууд Transit Gateway хавсралтаар холбогддог. Site-to-Site VPN нь AWS VPN зорилтод, ихэвчлэн виртуал хувийн гарц эсвэл Transit Gateway-д холбогддог. Client VPN-ийн архитектурын гарын авлага Transit Gateway сонголтыг баримтжуулдаг бөгөөд түүний оршихуй зөөврийн компьютерийн сессийг салбарын гарц болгохгүй, дээр дурдсан клиентийн баталгаажуулалт болон эрх олголтыг ч арилгахгүй.
Маршрутуудыг зохион бүтээхээс өмнө таны бүртгэл болон бүс нутаг яг аль хавсралтыг дэмждэг болохыг шалга, дараа нь тэр хавсралт хэнийх болохыг шалга. Баримт бичигт байгаа ч та тохируулж чадахгүй сүлжээнд байрлаж буй сонголт бол сонголт биш.
Дөрөвдүгээрт, түүнтэй хамт ямар маршрутлал болон бодлого ирдэг
Client VPN нь таны зөвшөөрсөн очих сүлжээнүүдэд клиентийн холболтын удирдлага болон эрх олголтын дүрмийг авчирна. Холбогдсон хэрэглэгчид зориулалтын төгсгөлийн цэгийн маршрут, түүнийг зөвшөөрөх эрх олголтын дүрэм, нөөц өөрөө шаарддаг хандалт бүгд хэрэгтэй хэвээр. Site-to-Site VPN нь хэрэглэгчийн гарцаар төлөөлөгдсөн сүлжээнүүдийн хооронд маршрутлана, дизайнаас хамааран дэмжигдсэн статик маршрут эсвэл BGP ашиглан, иймээс салбарын маршрутлагчийн ард байгаа хувь машин бүрт клиентийн нэвтрэлт шаардлагагүй.
Аль ч чиглэлд категориос дэмжигдээгүй зан төлөвийг дүгнэж болохгүй. Алсын хандалтын VPN-үүд буцах урсгалыг зөөх эсвэл гарцын зохицуулалтыг дэмжих чадваргүй гэж бүхэлдээ хэлж болохгүй, IPsec нь NAT-аар автоматаар хаагддаггүй — AWS NAT-ийн дамжуулалт болон хэрэглэгчийн гарцын шаардлагыг баримтжуулдаг, бодит хязгаарлалт нь дэмжигдсэн гарцын тохиргоо юм. Клиент рүү эхэлсэн холболтыг шаардах эсвэл нэг сессийн ард LAN дамжуулахаас өмнө төгсгөлийн цэгийнхээ хязгаарлалтыг шалга. Мөн адил болгоомжлол хаягийн гэр бүлд хамаарна: IPv4 дээр ажилладаг төгсгөлийн цэг нь IPv6 зам гэсэн үг биш, иймээс таны клиент эсвэл гарц үнэхээр хэлэлцэх гэр бүлийг батал.
Site-to-Site VPN нь холболт бүрт хоёр туннель өгдөг бөгөөд тэр илүүдэл нь таамаглаж болох функц биш, дизайны ажил юм. Хэрэглэгчийн гарцын ажиллагаа, маршрутын доголдолын шилжилт, туршилтын хамрах хүрээг бүгдийг нь төлөвлөх ёстой; нэг зөөврийн компьютерийн сессийг хийсвэр VPN сервертэй харьцуулах нь аль алиных нь талаар юу ч батлахгүй.
Хоёр дизайн хаана уулздаг
Үйлчилгээнүүд харилцан үгүйсгэлтэй биш бөгөөд ердийн үйлдвэрлэлийн хэлбэр хоёуланг нь ашигладаг: ажилтнууд Client VPN дээр, салбарын сүлжээнүүд Site-to-Site дээр, ярилцах ёстой очих газруудын хооронд тодорхой маршрут болон хандалтын бодлоготой. Хүснэгт нь дөрвөн шалгалтын хураангуй бөгөөд тэдгээрийг хийхийг орлох зүйл биш.
| Question | AWS Client VPN | AWS Site-to-Site VPN |
|---|---|---|
| Who establishes it? | A client on a remote device | A customer gateway device or appliance |
| What is authenticated? | The client or user identity | The gateway peer identity |
| How does it attach? | VPC subnet association or Transit Gateway | Virtual private gateway or Transit Gateway |
| What carries the path? | An OpenVPN-based client tunnel | IPsec tunnels to AWS endpoints |
Хоёр бүтээгдэхүүний аль нь ч орлохгүй нэг зүйл: шифрлэлтийн шаардлага VPN төгсгөлийн цэгээс цааш үргэлжилдэг програм руу чиглэсэн TLS. Хэрэв таны нийцлийн хүрээ програм дээр төгсдөг бол туннель бол тээвэр, гэрчилгээ нь одоо ч хяналт юм.
Дизайны хяналтаас өмнө дөрвөн хариултыг бичиж аваарай, тус бүр нэг мөрөнд. Хоёр нь зөрчилдвөл — жишээ нь, хэрэглэгчээр баталгаажсан клиентийн дизайн болон салбарын хэмжээний маршрутлалын шаардлага — тэр зөрчил нь олдвор бөгөөд үүнийг одоо харах нь шилжилтийн үеэр харахаас хямд.