EC2 Windows: VPN-klient, VPN-server eller AWS-gateway?
En Windows EC2-instans kan kjøre VPN-programvare, men en klient, en selvadministrert server og en AWS-gateway er ulike roller med ulike eiere.
Et team trenger VPN-tilkobling for en app som kjører på en Windows EC2-instans, finner kompatibel klientprogramvare, installerer den og spør deretter hvorfor resten av VPC-en ikke kan bruke den. Installasjonen fungerte; rollen ble aldri bestemt. Programvare som kjører inne i en gjest, kan være en klient som blir med i noen andres nettverk, en server som godtar andre klienter, eller ingen av de AWS-administrerte VPN-produktene, og hver rolle etterlater ulikt arbeid hos deg.
Symptomet er vanligvis feil rolle
Det vanlige symptomet er en fungerende tunnel som løser feil problem. En klient i VM-en gir den VM-en en utgående vei; den gir ikke laptopen, kontoret eller et annet subnett en vei inn. En server i VM-en gir andre en vei inn, men nå eier du lytteren, autentiseringen og videresendingen.
Administrerte tjenester flytter tjenestedriften til AWS og lar designet være hos deg. Site-to-Site VPN kobler nettverk gjennom en kundegateway og en AWS-gateway, og Client VPN gir fjernenheter et administrert endepunkt. I begge tilfeller er rutene, autorisasjonsreglene og identitetskilden din konfigurasjon, og ingen av produktene installerer en generell klient inne i en Windows-gjest.
Fire former er mulige, og tabellen skiller dem etter hva som kobles til hva, og hvem som bærer driftsbyrden.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Les raden, ikke produktnavnet: samme Windows-instans kan stå i to ulike rader avhengig av hvilken programvare som kjører i den.
Klient inne i VM-en: VM-en blir med i et nettverk
En utgående klient må få sjekket Windows-bygget, arkitekturen og driverkravene før noe installeres. Klienten vil endre ruter og DNS på instansen, noe som kan påvirke tjenester som allerede kjører der, inkludert veien du bruker til fjernadministrasjon. Noter adapterens navn og grensesnittmetrikken klienten setter, fordi det nye grensesnittet kan få forrang foran det eksisterende. Hvis instansen administreres via en sesjonsbehandler i stedet for SSH eller RDP, bekreft at den veien fortsatt virker etter at klienten kobler til.
Bestem hvilken trafikk klienten skal bære før du aktiverer den. En full tunnel kan fange administrasjonssesjonen og låse deg ute, og en delt tunnel kan la instansen nå det private nettverket mens den øvrige trafikken tar en annen utgang. Test med en andre administrasjonsvei tilgjengelig, og noter rutene klienten installerer, slik at en senere endring kan forklares.
Server inne i VM-en: andre klienter blir med i den
For en selvadministrert server eier du lytteren, sertifikatet eller nøkkelmaterialet, brukerdatabasen og videresendingsreglene. Hvis serveren videresender trafikk for andre klienter, blir instansen en ruter, og det krever videresending på gjestenivå pluss endringer i ruter og sikkerhetsgrupper på AWS-nivå.
Test lytteren fra gjesten og igjen fra et annet subnett, og test deretter en vert som instansen videresender for. En sunn lokal tjeneste beviser ingenting om den videresendte veien, så noter begge resultatene i endringsnotatet.
Administrerte gateways beholder tjenesten, ikke din tilgangsdesign
AWS Site-to-Site VPN dokumenterer tunnelrollene til kundegatewayen og AWS-gatewayen, og kjøp av den forbindelsen erstatter ikke enhver fjernaksesdesign. Client VPN dokumenterer et administrert endepunkt med klientpersonaer, mens autorisasjonsreglene og målrutene forblir dine. AWS holder endepunktet og sertifikatene i drift; hvem som kan nå hvilken applikasjon, er fortsatt en autorisasjonsregel du skriver og vedlikeholder.
Velg mellom produktene på fem akser: hvilken rolle hver spiller, hvilke protokoller den godtar, hvilken identitetskilde den forventer, hvordan trafikk videresendes, og hvordan tilgjengelighet leveres. Ignorer enhver enkelt gjennomstrømningstall som siteres i en forumtråd, fordi den publiserte kapasiteten flytter seg med tjenesten. Og ikke anta at et administrert tunnelpar endrer hvordan en vilkårlig gjesteklient oppfører seg.
Velg rollen før produktet
Skriv én setning som navngir retningen: denne VM-en blir med i et nettverk, denne VM-en godtar klienter, eller en AWS-gateway kobler definerte nettverk.
Den setningen avgjør produktkortlisten, eieren av programvaren og feilmodusene du skal feilsøke. Hvis kravet er at fjerne brukere når en applikasjon, er en klient installert i applikasjonens VM feil form. Hvis kravet er at én VM når et partnernettverk, er en administrert nettsted-til-nettsted-gateway mer maskineri enn oppgaven trenger. Begge svarene er legitime; bare ett av dem passer til setningen du skrev.