AWS Client VPN atau Site-to-Site: periksa siapa yang membuka sambungan

Empat pemeriksaan yang menentukannya, dan tiada satu pun daripadanya ialah nama protokol. Siapa yang membuka sambungan, apa yang disahkan oleh AWS, bagaimana sambungan dipasang pada rangkaian anda, dan penghalaan serta dasar apa yang menyertainya. Jawab semuanya mengikut urutan dan pilihan produk biasanya membuat keputusan sendiri; jawab selepas anda sudah membeli reka bentuk dan anda akan mempertahankan terowong yang menyelesaikan separuh masalah yang salah. Tiada satu pun daripada empat itu meminta anda memilih sifer, sebab itulah reka bentuk yang bermula dengan protokol biasanya menjadi tanda bahawa keperluan tidak pernah ditulis.

Jalankan setiap pemeriksaan terhadap titik akhir, klien dan keluarga alamat sebenar yang anda rancang untuk gunakan, bukan terhadap kategori. Produk VPN terurus berbeza daripada blok binaan OpenVPN dan IPsec yang kelihatan serupa dengannya.

Pertama, siapa yang membuka sambungan

Jika yang memerlukan akses ialah komputer riba, telefon atau stesen kerja seorang pentadbir, sambungan bermula pada peranti jauh dan reka bentuknya ialah akses klien jauh. Jika yang memerlukan akses ialah cawangan penuh mesin di belakang satu penghala, sambungan bermula pada penghala itu dan reka bentuknya ialah gateway-ke-gateway. Inilah pemeriksaan yang menyelesaikan kebanyakan kes, dan inilah yang dilewatkan orang apabila pembentangan vendor sudah membingkaikan perbualan di sekitar sifer.

Berhenti di sini jika anda tidak dapat menamakan komponen yang memulakannya. Reka bentuk yang cuba melayani kedua-dua kes dengan satu terowong biasanya berakhir dengan sesi klien yang berpura-pura menjadi gateway.

Kedua, apa yang disahkan oleh AWS

Dengan Client VPN, AWS mengesahkan identiti klien atau pengguna yang dikonfigurasikan: sijil, direktori atau identiti bergabung, bergantung pada persediaan. Dengan Site-to-Site VPN, AWS mengesahkan identiti rakan gateway. Perbezaan itu bukan kosmetik. Satu model berskala dengan menambah pengguna dan membatalkan kelayakan mereka; satu lagi berskala dengan mempercayai apa sahaja yang berada di belakang satu gateway.

Pengesahan gateway tidak mengesahkan setiap pekerja atau aplikasi di belakangnya, jadi kekalkan identiti aplikasi dan akses peringkat sumber walaupun terowong itu sendiri dipercayai. Cawangan yang penghalanya memiliki identiti rakan yang sah tidak boleh dibaca secara automatik seolah-olah setiap meja di bangunan itu diberi kuasa.

Ketiga, bagaimana sambungan dipasang

Client VPN dipasang melalui persatuan subnet VPC atau lampiran Transit Gateway langsung yang disokong. Site-to-Site VPN dipasang pada sasaran AWS VPN, biasanya gateway persendirian maya atau Transit Gateway. Panduan seni bina Client VPN mendokumenkan pilihan Transit Gateway, dan kewujudannya tidak menjadikan sesi komputer riba sebagai gateway cawangan atau membuang pengesahan dan kebenaran klien yang diterangkan di atas.

Periksa lampiran yang benar-benar disokong oleh akaun dan wilayah anda sebelum mereka bentuk laluan di sekelilingnya, kemudian periksa siapa yang memiliki lampiran itu. Pilihan yang wujud dalam dokumentasi tetapi terletak pada rangkaian yang tidak dapat anda konfigurasikan bukanlah pilihan.

Keempat, penghalaan dan dasar apa yang menyertainya

Client VPN membawa pengurusan sambungan klien dan peraturan kebenaran untuk rangkaian destinasi yang anda benarkan. Pengguna yang bersambung masih memerlukan laluan titik akhir yang dimaksudkan, peraturan kebenaran yang membenarkannya, dan akses yang diperlukan oleh sumber itu sendiri. Site-to-Site VPN menghalakan antara rangkaian yang diwakili oleh gateway pelanggan, menggunakan laluan statik yang disokong atau BGP bergantung pada reka bentuk, jadi setiap mesin di belakang penghala cawangan tidak perlu log masuk klien.

Jangan menyimpulkan tingkah laku yang tidak disokong daripada kategori itu ke mana-mana arah. VPN akses jauh tidak semestinya tidak mampu membawa trafik balik atau menyokong susunan gateway, dan IPsec tidak disekat secara automatik oleh NAT — AWS mendokumenkan traversal NAT dan keperluan gateway pelanggan, dan kekangan sebenar ialah konfigurasi gateway yang disokong. Periksa sekatan untuk titik akhir anda sebelum anda menghendaki sambungan yang dimulakan ke arah klien atau memajukan LAN di belakang satu sesi. Awas yang sama terpakai kepada keluarga alamat: titik akhir yang berfungsi melalui IPv4 tidak bermakna laluan IPv6, jadi sahkan keluarga yang benar-benar akan dirundingkan oleh klien atau gateway anda.

Site-to-Site VPN memberi anda dua terowong setiap sambungan, dan lebihan itu ialah tugas reka bentuk dan bukan ciri yang boleh diandaikan. Operasi gateway pelanggan, pengalihan laluan apabila gagal dan liputan ujian semuanya mesti dirancang; membandingkan satu sesi komputer riba dengan pelayan VPN abstrak tidak membuktikan apa-apa tentang kedua-duanya.

Di mana kedua-dua reka bentuk bertemu

Perkhidmatan ini tidak saling eksklusif, dan bentuk pengeluaran biasa menggunakan kedua-duanya: pekerja pada Client VPN, rangkaian cawangan pada Site-to-Site, dengan laluan eksplisit dan dasar akses antara destinasi yang perlu berkomunikasi. Jadual itu ialah ringkasan empat pemeriksaan, bukan pengganti untuk menjalankannya.

Satu perkara yang tidak digantikan oleh mana-mana produk: TLS ke aplikasi yang keperluan penyulitannya melepasi titik akhir VPN. Jika skop pematuhan anda berakhir pada aplikasi, terowong itu ialah pengangkutan dan sijil masih menjadi kawalan.

Tuliskan keempat-empat jawapan sebelum semakan reka bentuk, satu baris setiap satu. Apabila dua daripadanya bercanggah — katakan, reka bentuk klien yang disahkan pengguna dengan keperluan penghalaan sebesar cawangan — percanggahan itulah penemuannya, dan lebih murah melihatnya sekarang daripada semasa peralihan.