EC2 Windows: VPN-client, VPN-server of AWS-gateway?

Een team heeft VPN-connectiviteit nodig voor een app op een Windows EC2-instantie, vindt compatibele clientsoftware, installeert die en vraagt zich dan af waarom de rest van de VPC deze niet kan gebruiken. De installatie werkte; de rol is nooit bepaald. Software in een gast kan een client zijn die lid wordt van andermans netwerk, een server die andere clients accepteert, of geen van beide door AWS beheerde VPN-producten, en elke rol laat ander werk bij u achter.

Het symptoom is meestal de verkeerde rol

Het gebruikelijke symptoom is een werkende tunnel die het verkeerde probleem oplost. Een client in de VM geeft die VM een uitgaand pad; het geeft uw laptop, kantoor of een ander subnet geen weg naar binnen. Een server in de VM geeft anderen een weg naar binnen, maar nu bezit u de listener, de authenticatie en het doorsturen.

Beheerde diensten verplaatsen de dienstuitvoering naar AWS en laten het ontwerp bij u. Site-to-Site VPN verbindt netwerken via een klantgateway en een AWS-gateway, en Client VPN geeft externe apparaten een beheerd eindpunt. In beide gevallen zijn de routes, de autorisatieregels en de identiteitsbron uw configuratie, en geen van beide producten installeert een algemene client in een Windows-gast.

Er zijn vier vormen mogelijk, en de tabel scheidt ze naar wat waarmee verbindt en wie de operationele last draagt.

Lees de rij, niet de productnaam: dezelfde Windows-instantie kan in twee verschillende rijen staan, afhankelijk van welke software erin draait.

Client in de VM: de VM sluit zich aan bij een netwerk

Een uitgaande client moet de Windows-build, de architectuur en de stuurprogramma-eisen laten controleren voordat er iets wordt geïnstalleerd. De client wijzigt routes en DNS op de instantie, wat diensten kan beïnvloeden die daar al draaien, inclusief het pad dat u voor beheer op afstand gebruikt. Noteer de adaptornaam en de interfacemetriek die de client instelt, want de nieuwe interface kan voorrang krijgen boven de bestaande. Als de instantie via een sessiebeheerder in plaats van SSH of RDP wordt beheerd, bevestig dan dat dat pad nog werkt nadat de client verbinding maakt.

Bepaal welk verkeer de client moet dragen voordat u hem inschakelt. Een volledige tunnel kan de beheersessie vangen en u buitensluiten, en een gesplitste tunnel kan de instantie het privénetwerk laten bereiken terwijl het overige verkeer een andere uitgang neemt. Test met een tweede beheerpad beschikbaar, en noteer de routes die de client installeert zodat een latere wijziging verklaarbaar is.

Server in de VM: andere clients sluiten zich erbij aan

Voor een zelfbeheerde server bezit u de listener, het certificaat of sleutelmateriaal, de gebruikersdatabase en de doorstuurregels. Als de server verkeer voor andere clients doorstuurt, wordt de instantie een router, en dat vereist doorsturen op gastniveau plus wijzigingen aan routes en beveiligingsgroepen op AWS-niveau.

Test de listener vanuit de gast en opnieuw vanuit een ander subnet, test dan een host waarvoor de instantie doorstuurt. Een gezonde lokale dienst bewijst niets over het doorgestuurde pad, dus noteer beide resultaten in de wijzigingsnotitie.

Beheerde gateways behouden de dienst, niet uw toegangsontwerp

AWS Site-to-Site VPN documenteert de tunnelrollen van de klantgateway en de AWS-gateway, en de aankoop van die verbinding vervangt niet elk ontwerp voor toegang op afstand. Client VPN documenteert een beheerd eindpunt met klantpersona's, terwijl de autorisatieregels en doelpaden van u blijven. AWS houdt het eindpunt en de bijbehorende certificaten draaiende; wie welke applicatie mag bereiken, blijft een autorisatieregel die u schrijft en onderhoudt.

Kies tussen de producten op vijf assen: welke rol elk speelt, welke protocollen het accepteert, welke identiteitsbron het verwacht, hoe verkeer wordt doorgestuurd en hoe beschikbaarheid wordt geleverd. Negeer elk losse doorvoercijfer dat in een forumbericht wordt geciteerd, want de gepubliceerde capaciteit beweegt mee met de dienst. En ga er niet van uit dat een beheerd tunnelpaar het gedrag van een willekeurige gastclient verandert.

Kies de rol vóór het product

Schrijf één zin die de richting benoemt: deze VM sluit zich aan bij een netwerk, deze VM accepteert clients, of een AWS-gateway verbindt gedefinieerde netwerken.

Die zin bepaalt de shortlist van producten, de eigenaar van de software en de faalmodi die u gaat debuggen. Als de eis is dat externe gebruikers een applicatie bereiken, is een client in de VM van de applicatie de verkeerde vorm. Als de eis is dat één VM een partnernetwerk bereikt, is een beheerde site-to-site-gateway meer machinerie dan de taak nodig heeft. Beide antwoorden zijn legitiem; slechts één past bij de zin die u schreef.