EC2 Windows: VPN-klient, VPN-tenar eller AWS-gateway?
Ein Windows EC2-instans kan køyre VPN-programvare, men ein klient, ein sjølvstyrt tenar og ein AWS-gateway er ulike rollar med ulike eigarar.
Eit team treng VPN-tilkopling for ein app som køyrer på ein Windows EC2-instans, finn kompatibel klientprogramvare, installerer henne og spør så kvifor resten av VPC-en ikkje kan bruke henne. Installasjonen fungerte; rolla vart aldri avgjord. Programvare som køyrer inne i ein gjest, kan vere ein klient som blir med i nettverket til nokon andre, ein tenar som tek imot andre klientar, eller ingen av dei AWS-styrte VPN-produkta, og kvar rolle lèt att ulikt arbeid hos deg.
Symptomet er vanlegvis feil rolle
Det vanlege symptomet er ein fungerande tunnel som løyser feil problem. Ein klient i VM-en gjev den VM-en ein utgåande veg; han gjev ikkje den berbare datamaskina, kontoret eller eit anna subnett ein veg inn. Ein tenar i VM-en gjev andre ein veg inn, men no eig du lyttaren, autentiseringa og vidaresendinga.
Styrte tenester flyttar tenestedrifta til AWS og lèt designet vere hos deg. Site-to-Site VPN knyter nettverk gjennom ein kundegateway og ein AWS-gateway, og Client VPN gjev fjernapparat eit styrt endepunkt. I båe tilfelle er rutene, autorisasjonsreglane og identitetskjelda di konfigurasjon, og ingen av produkta installerer ein allmenn klient inne i ein Windows-gjest.
Fire former er mogelege, og tabellen skil dei etter kva som knyt seg til kva, og kven som ber driftsbyrda.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Les rada, ikkje produktnamnet: same Windows-instans kan stå i to ulike rader avhengig av kva programvare som køyrer i han.
Klient inne i VM-en: VM-en blir med i eit nettverk
Ein utgåande klient må få sjekka Windows-bygget, arkitekturen og drivarkrava før noko blir installert. Klienten vil endre ruter og DNS på instansen, noko som kan påverke tenester som alt køyrer der, inkludert vegen du brukar til fjernadministrasjon. Noter namnet på adapteren og grensesnittmetrikken klienten set, fordi det nye grensesnittet kan få forrang framom det eksisterande. Viss instansen blir styrt via ein sesjonshandsamar i staden for SSH eller RDP, stadfest at den vegen framleis verkar etter at klienten koplar til.
Avgjer kva trafikk klienten skal bere før du slår han på. Ein full tunnel kan fange administrasjonssesjonen og låse deg ute, og ein delt tunnel kan la instansen nå det private nettverket medan den øvrige trafikken tek ein annan utgang. Test med ein andre administrasjonsveg tilgjengeleg, og noter rutene klienten installerer, slik at ei seinare endring kan forklarast.
Tenar inne i VM-en: andre klientar blir med i han
For ein sjølvstyrt tenar eig du lyttaren, sertifikatet eller nøkkelmaterialet, brukardatabasen og vidaresendingsreglane. Viss tenaren vidaresender trafikk for andre klientar, blir instansen ein ruter, og det krev vidaresending på gjestenivå pluss endringar i ruter og tryggingsgrupper på AWS-nivå.
Test lyttaren frå gjesten og igjen frå eit anna subnett, test så ein vert som instansen vidaresender for. Ein sunn lokal teneste provar ingenting om den vidaresende vegen, så noter båe resultata i endringsnotatet.
Styrte gatewayar held på tenesta, ikkje på tilgangsdesignet ditt
AWS Site-to-Site VPN dokumenterer tunnelrollane til kundegatewayen og AWS-gatewayen, og kjøp av den sambindinga erstattar ikkje eit kvart fjernåtgongsdesign. Client VPN dokumenterer eit styrt endepunkt med klientpersonar, medan autorisasjonsreglane og målrutene blir dine. AWS held endepunktet og sertifikata hans i drift; kven som kan nå kva applikasjon er framleis ein autorisasjonsregel du skriv og vedlikeheld.
Vel mellom produkta på fem aksar: kva rolle kvar spelar, kva protokollar han godtek, kva identitetskjelde han ventar, korleis trafikk blir vidaresend og korleis tilgjenge blir levert. Ignorer eit kvart einskilde gjennomstrøymingstal som blir sitert i ein forumtråd, fordi den publiserte kapasiteten flyttar seg med tenesta. Og ikkje gå ut frå at eit styrt tunnelpar endrar åtferda til ein vilkårleg gjesteklient.
Vel rolla før produktet
Skriv éin setning som namngjev retninga: denne VM-en blir med i eit nettverk, denne VM-en tek imot klientar, eller ein AWS-gateway knyter definerte nettverk.
Den setninga avgjer produktkortlista, eigaren av programvara og feilmodusane du skal feilsøkje. Viss kravet er at fjernbrukarar når ein applikasjon, er ein klient installert i VM-en til applikasjonen feil form. Viss kravet er at éin VM når eit partnernettverk, er ein styrt nettstad-til-nettstad-gateway meir maskineri enn oppgåva treng. Båe svara er legitime; berre eitt av dei passar til setninga du skreiv.