AWS Client VPN jew Site-to-Site: iċċekkja min jiftaħ il-konnessjoni

Erba' verifiki jiddeċiedu dan, u ebda waħda minnhom mhija l-isem tal-protokoll. Min jiftaħ il-konnessjoni, x'jawthentika AWS, kif il-konnessjoni tgħaqqad man-netwerk tiegħek, u liema routig u politika jiġu magħha. Wieġeb dawn fl-ordni u l-għażla tal-prodott ġeneralment issir waħedha; wieġeb wara li tkun diġà xtrajt disinn u tkun qed tiddefendi tunnel li jsolvi n-nofs ħażin tal-problema. Ebda waħda mill-erbgħa ma titlobek tagħżel cipher, u għalhekk disinn li jibda bil-protokoll ġeneralment huwa sinjal li r-rekwiżiti qatt ma nkitbu.

Agħmel kull verifika kontra l-endpoint, il-klijent u l-familja tal-indirizzi li fil-fatt biħsiebek tuża, mhux kontra l-kategorija. Prodotti VPN ġestiti differenti mill-blokki tal-bini OpenVPN u IPsec li jixbhu lilhom.

L-ewwel, min jiftaħ il-konnessjoni

Jekk dak li jeħtieġ aċċess huwa laptop, telefon jew stazzjon tax-xogħol ta' amministratur wieħed, il-konnessjoni tibda minn apparat mill-bogħod u d-disinn huwa aċċess mill-bogħod tal-klijent. Jekk dak li jeħtieġ aċċess huwa fergħa mimlija magni wara router wieħed, il-konnessjoni tibda minn dak ir-router u d-disinn huwa gateway għal gateway. Din hija l-verifika li ssolvi l-biċċa l-kbira tal-każijiet, u din hija dik li n-nies jaqbżu meta preżentazzjoni tal-fornitur tkun diġà qafset id-diskussjoni madwar iċ-ċifraturi.

Waqaf hawn jekk ma tistax issemmi l-komponent li jibda. Disinn li jipprova jaqdi ż-żewġ każijiet b'tunnel wieħed ġeneralment jispiċċa b'sessjoni tal-klijent li tinħeba bħala gateway.

It-tieni, x'jawthentika AWS

Ma' Client VPN AWS jawthentika l-identità tal-klijent jew tal-utent konfigurata: ċertifikati, direttorju jew identità federata, skont is-setup. Ma' Site-to-Site VPN AWS jawthentika l-identità tal-peer tal-gateway. Dik id-differenza mhix kożmetika. Mudell wieħed jeskala billi jżid utenti u jirrevoka l-kredenzjali tagħhom; l-ieħor jeskala billi jafda f'kull ma jinsab wara gateway wieħed.

L-awtentikazzjoni tal-gateway ma tawtentikax kull impjegat jew applikazzjoni warajh, għalhekk żomm l-identitajiet tal-applikazzjonijiet u l-aċċess fil-livell tar-riżorsi anki meta t-tunnel innifsu jkun fiduċjuż. Fergħa li r-router tagħha għandha identità tal-peer valida m'għandhiex tinqara awtomatikament bħallikieku kull skrivanija f'dak il-bini hija awtorizzata.

It-tielet, kif il-konnessjoni tgħaqqad

Client VPN tgħaqqad permezz ta' assoċjazzjonijiet tas-subnet VPC jew konnessjoni diretta Transit Gateway appoġġjata. Site-to-Site VPN tgħaqqad ma' mira AWS VPN, ġeneralment gateway privat virtwali jew Transit Gateway. Il-gwida tal-arkitettura ta' Client VPN tiddokumenta l-għażla Transit Gateway, u l-eżistenza tagħha ma tbiddilx sessjoni ta' laptop fi gateway tal-fergħa u ma tneħħix l-awtentikazzjoni u l-awtorizzazzjoni tal-klijent deskritti hawn fuq.

Iċċekkja l-konnessjoni li l-kont u r-reġjun tiegħek fil-fatt jappoġġjaw qabel ma tiddisinja rotot madwarha, imbagħad iċċekkja ta' min hi dik il-konnessjoni. Għażla li teżisti fid-dokumentazzjoni iżda tinsab fuq netwerk li ma tistax tikkonfigura mhijiex għażla.

Ir-raba', liema routig u politika jiġu magħha

Client VPN iġġib il-ġestjoni tal-konnessjonijiet tal-klijent u regoli tal-awtorizzazzjoni għan-netwerks tad-destinazzjoni li tippermetti. Utent konness xorta jeħtieġ ir-rotta maħsuba sal-endpoint, regola tal-awtorizzazzjoni li tippermettiha, u kull aċċess li teħtieġ ir-riżorsa nnifisha. Site-to-Site VPN tirroutja bejn netwerks rappreżentati minn gateway tal-klijent, bl-użu ta' rotot statiċi appoġġjati jew BGP skont id-disinn, għalhekk il-magni individwali wara r-router tal-fergħa m'għandhomx kull waħda bżonn login tal-klijent.

Tiddeduċix imġiba mhux appoġġjata mill-kategorija f'ebda direzzjoni. Il-VPNs tal-aċċess mill-bogħod mhumiex universalment inkapaċi jġorru traffiku tar-ritorn jew jappoġġjaw arranġamenti tal-gateway, u IPsec mhuwiex imblukkat awtomatikament min-NAT — AWS tiddokumenta t-traversata tan-NAT u r-rekwiżiti tal-gateway tal-klijent, u r-restrizzjoni vera hija l-konfigurazzjoni tal-gateway appoġġjata. Iċċekkja r-restrizzjonijiet għall-endpoint tiegħek qabel ma teħtieġ konnessjonijiet li jibdew lejn il-klijenti jew tibgħat LAN wara sessjoni waħda. L-istess kawtela tapplika għall-familji tal-indirizzi: endpoint li jaħdem fuq IPv4 ma jimplikax rotta IPv6, għalhekk ikkonferma l-familja li l-klijent jew il-gateway tiegħek fil-fatt se jinnnegozjaw.

Site-to-Site VPN jagħtik żewġ tunnels għal kull konnessjoni, u dik ir-redundanza hija xogħol tad-disinn mhux funzjoni li tista' tassumi. It-tħaddim tal-gateway tal-klijent, il-failover tar-rotot u l-kopertura tat-testijiet kollha jridu jiġu ppjanati; li tqabbel sessjoni waħda ta' laptop ma' server VPN astratt ma jipprovax xejn dwar l-ebda waħda.

Fejn jiltaqgħu ż-żewġ disinni

Is-servizzi mhumiex esklużivi, u l-forma komuni tal-produzzjoni tuża t-tnejn: impjegati fuq Client VPN, netwerks tal-fergħat fuq Site-to-Site, b'rotot espliciti u politika tal-aċċess bejn id-destinazzjonijiet li jridu jitkellmu. It-tabella hija sommarju tal-erba' verifiki, mhux sostitut għall-għemil tagħhom.

Ħaġa waħda li l-ebda wieħed mill-prodotti ma jissostitwixxi: TLS lejn applikazzjoni li r-rekwiżit tal-kriptaġġ tagħha jestendi lil hinn mill-endpoint tal-VPN. Jekk il-kamp tal-konformità tiegħek jispiċċa fl-applikazzjoni, it-tunnel huwa trasport u ċ-ċertifikat għadu l-kontroll.

Ikteb l-erba' tweġibiet qabel ir-reviżjoni tad-disinn, linja waħda kull wieħed. Meta tnejn minnhom ma jaqblux — ngħidu aħna, disinn tal-klijent awtentikat mill-utent b'rekwiżit ta' routig daqs fergħa — dik id-diverġenza hija s-sejba, u huwa irħas taraha issa milli waqt it-tranżizzjoni.