AWS Client VPN ili Site-to-Site: proverite ko uspostavlja vezu
Client VPN autentifikuje uređaj ili korisnika; Site-to-Site povezuje gateway sa AWS-om. Četiri provere određuju šta vaš laptop ili filijala zaista trebaju.
Ovo određuju četiri provere i nijedna od njih nije naziv protokola. Ko otvara vezu, šta AWS autentifikuje, kako se veza priključuje na vašu mrežu i koje rutiranje i pravila dolaze s njom. Odgovorite na to redom i izbor proizvoda se obično sam nametne; odgovorite nakon što ste već kupili dizajn i branićete tunel koji rešava pogrešnu polovinu problema. Nijedna od četiri ne traži da odaberete šifru, zato je dizajn koji počinje protokolom obično znak da zahtevi nikada nisu zapisani.
Svaku proveru izvedite prema stvarnom endpointu, klijentu i porodici adresa koje nameravate da koristite, a ne prema kategoriji. Upravljani VPN proizvodi razlikuju se od OpenVPN i IPsec gradivnih blokova na koje liče.
Prvo, ko otvara vezu
Ako je ono čemu treba pristup laptop, telefon ili radna stanica jednog administratora, veza počinje na udaljenom uređaju i dizajn je udaljeni klijentski pristup. Ako je ono čemu treba pristup filijala puna mašina iza jednog rutera, veza počinje na tom ruteru i dizajn je gateway-prema-gatewayu. To je provera koja rešava većinu slučajeva i upravo je ljudi preskaču kada je prezentacija dobavljača već uokvirila razgovor oko šifri.
Zaustavite se ovde ako ne možete da imenujete komponentu koja inicira. Dizajn koji pokušava da posluži oba slučaja jednim tunelom obično završi klijentskom sesijom koja se pretvara da je gateway.
Drugo, šta AWS autentifikuje
Sa Client VPN-om AWS autentifikuje konfigurisani klijentski ili korisnički identitet: sertifikate, direktorijum ili federisani identitet, zavisno od postavki. Sa Site-to-Site VPN-om AWS autentifikuje identitet gateway partnera. Ta razlika nije kozmetička. Jedan model skalira dodavanjem korisnika i ukidanjem njihovih akreditiva; drugi skalira verovanjem u sve što stoji iza jednog gateway-a.
Autentifikacija gateway-a ne autentifikuje svakog zaposlenog ni aplikaciju iza njega, zato zadržite identitete aplikacija i pristup na nivou resursa čak i kada je sam tunel pouzdan. Filijala čiji ruter ima važeći identitet partnera ne sme se automatski čitati kao da je svaki sto u toj zgradi ovlašćen.
Treće, kako se veza priključuje
Client VPN priključuje se kroz asocijacije podmreža u VPC-u ili podržani direktni priključak na Transit Gateway. Site-to-Site VPN priključuje se na cilj AWS VPN-a, najčešće virtuelni privatni gateway ili Transit Gateway. Vodič kroz arhitekturu Client VPN-a dokumentuje opciju Transit Gateway i njeno postojanje ne pretvara sesiju laptopa u filijalni gateway niti uklanja gore opisane autentifikaciju i autorizaciju klijenta.
Proverite priključak koji vaš nalog i regija stvarno podržavaju pre nego što oko njega projektujete rute, pa proverite kome taj priključak pripada. Opcija koja postoji u dokumentaciji ali se nalazi na mreži koju ne možete da konfigurišete nije opcija.
Četvrto, koje rutiranje i pravila dolaze s njom
Client VPN donosi upravljanje klijentskim vezama i pravila autorizacije za odredišne mreže koje dozvoljavate. Povezani korisnik i dalje treba predviđenu rutu do endpointa, pravilo autorizacije koje je dozvoljava i onaj pristup koji sam resurs zahteva. Site-to-Site VPN rutira između mreža predstavljenih korisničkim gateway-om, koristeći podržane statičke rute ili BGP zavisno od dizajna, pa pojedinačne mašine iza filijalnog rutera ne trebaju svaka svoju klijentsku prijavu.
Ne izvlačite nepodržano ponašanje iz kategorije ni u jednom smeru. VPN-ovi za udaljeni pristup nisu univerzalno nesposobni da prenose povratni saobraćaj ni da podržavaju gateway rasporede, a IPsec nije automatski blokiran NAT-om — AWS dokumentuje NAT traversal i zahteve za korisnički gateway, a stvarno ograničenje je podržana konfiguracija gateway-a. Proverite ograničenja za svoj endpoint pre nego što zahtevate veze inicirane prema klijentima ili prosleđujete LAN iza jedne sesije. Isto važi i za porodice adresa: endpoint koji radi preko IPv4 ne podrazumeva IPv6 put, zato potvrdite porodicu koju će vaš klijent ili gateway zaista pregovarati.
Site-to-Site VPN daje vam dva tunela po vezi i ta redundancija je projektni zadatak, a ne funkcija koju možete pretpostaviti. Rad korisničkog gateway-a, prebacivanje ruta i pokrivenost testovima sve se mora planirati; poređenje jedne sesije laptopa sa apstraktnim VPN serverom ne dokazuje ništa ni o jednom od njih.
Gde se dva dizajna susreću
Usluge se ne isključuju i uobičajen proizvodni oblik koristi obe: zaposleni na Client VPN-u, filijalne mreže na Site-to-Site, sa izričitim rutama i pravilima pristupa između odredišta koja moraju da razgovaraju. Tabela je sažetak četiri provere, a ne zamena za njihovo sprovođenje.
| Question | AWS Client VPN | AWS Site-to-Site VPN |
|---|---|---|
| Who establishes it? | A client on a remote device | A customer gateway device or appliance |
| What is authenticated? | The client or user identity | The gateway peer identity |
| How does it attach? | VPC subnet association or Transit Gateway | Virtual private gateway or Transit Gateway |
| What carries the path? | An OpenVPN-based client tunnel | IPsec tunnels to AWS endpoints |
Jedno što nijedan od dva proizvoda ne zamenjuje: TLS prema aplikaciji čiji zahtev za enkripcijom seže dalje od VPN endpointa. Ako vaš opseg usklađenosti završava na aplikaciji, tunel je transport a sertifikat je i dalje kontrola.
Zapišite četiri odgovora pre pregleda dizajna, po jedan red svaki. Kada se dva od njih ne slažu — recimo, klijentski dizajn sa autentifikacijom korisnika i zahtev za rutiranjem veličine filijale — to neslaganje je nalaz, i jeftinije ga je videti sada nego tokom prelaska.