AWS Client VPN alebo Site-to-Site: overte, kto nadväzuje spojenie

Rozhodujú o tom štyri kontroly a ani jedna z nich nie je názov protokolu. Kto spojenie otvára, čo AWS autentizuje, ako sa spojenie pripája k vašej sieti a aké smerovanie a zásady s ním prichádzajú. Odpovedzte na to v poradí a voľba produktu sa zvyčajne urobí sama; odpovedzte až po tom, čo ste už návrh kúpili, a budete obhajovať tunel, ktorý rieši nesprávnu polovicu problému. Ani jedna zo štyroch vás nežiada vybrať šifru, a preto je návrh začínajúci protokolom zvyčajne znakom toho, že požiadavky neboli nikdy zapísané.

Každú kontrolu vykonajte voči skutočnému koncovému bodu, klientovi a rodine adries, ktorú hodláte použiť, nie voči kategórii. Spravované VPN produkty sa líšia od stavebných blokov OpenVPN a IPsec, ktorým sa podobajú.

Po prvé, kto spojenie otvára

Ak je tým, čo potrebuje prístup, notebook, telefón alebo pracovná stanica jediného správcu, spojenie začína na vzdialenom zariadení a návrhom je vzdialený klientsky prístup. Ak je tým, čo potrebuje prístup, pobočka plná strojov za jediným routerom, spojenie začína na tomto routeri a návrhom je brána k bráne. To je kontrola, ktorá rozhoduje väčšinu prípadov, a práve ňu ľudia preskakujú, keď prezentácia dodávateľa už zarámovala rozhovor okolo šifier.

Zastavte sa tu, ak nedokážete pomenovať komponent, ktorý spojenie iniciuje. Návrh, ktorý sa snaží obslúžiť oba prípady jediným tunelom, zvyčajne skončí klientskou reláciou, ktorá predstiera, že je brána.

Po druhé, čo AWS autentizuje

Pri Client VPN AWS autentizuje nakonfigurovanú klientsku alebo používateľskú identitu: certifikáty, adresár alebo federovanú identitu, podľa nastavenia. Pri Site-to-Site VPN AWS autentizuje identitu partnerskej brány. Ten rozdiel nie je kozmetický. Jeden model škáluje pridávaním používateľov a odvolávaním ich prihlasovacích údajov; druhý škáluje dôverou vo všetko, čo stojí za jedinou bránou.

Autentizácia brány neautentizuje každého zamestnanca ani aplikáciu za ňou, preto zachovajte identity aplikácií a prístup na úrovni prostriedkov, aj keď je tunel sám považovaný za dôveryhodný. Pobočka, ktorej router má platnú identitu partnera, by sa nemala automaticky čítať tak, že každý stôl v tej budove je oprávnený.

Po tretie, ako sa spojenie pripája

Client VPN sa pripája pomocou pridružení podsietí vo VPC alebo podporovaného priameho pripojenia k Transit Gateway. Site-to-Site VPN sa pripája k cieľu AWS VPN, zvyčajne k virtuálnej privátnej bráne alebo k Transit Gateway. Príručka architektúry Client VPN dokumentuje voľbu Transit Gateway a jej existencia nezmení reláciu notebooku na pobočkovú bránu ani neodstráni vyššie opísanú autentizáciu a autorizáciu klienta.

Overte pripojenie, ktoré váš účet a región skutočne podporujú, skôr než okolo neho navrhnete trasy, a potom overte, komu to pripojenie patrí. Voľba, ktorá existuje v dokumentácii, ale leží v sieti, ktorú nemôžete konfigurovať, nie je voľbou.

Po štvrté, aké smerovanie a zásady s ním prichádzajú

Client VPN prináša správu klientskych spojení a pravidlá autorizácie pre cieľové siete, ktoré povolíte. Pripojený používateľ stále potrebuje zamýšľanú trasu ku koncovému bodu, pravidlo autorizácie, ktoré ju povolí, a prístup, ktorý vyžaduje samotný prostriedok. Site-to-Site VPN smeruje medzi sieťami zastúpenými zákazníckou bránou, s využitím podporovaných statických trás alebo BGP podľa návrhu, takže jednotlivé stroje za pobočkovým routerom nepotrebujú každý klientske prihlásenie.

Neodvodzujte nepodporované správanie z kategórie v žiadnom smere. VPN pre vzdialený prístup nie sú univerzálne neschopné prenášať spätnú prevádzku alebo podporovať usporiadania s bránou a IPsec nie je automaticky blokovaný NAT — AWS dokumentuje priechod NAT a požiadavky na zákaznícku bránu a skutočným obmedzením je podporovaná konfigurácia brány. Overte obmedzenia pre svoj koncový bod, kým budete vyžadovať spojenia iniciované smerom ku klientom alebo preposielať LAN za jednou reláciou. Rovnaká opatrnosť platí pre rodiny adries: koncový bod, ktorý funguje cez IPv4, neznamená cestu IPv6, preto potvrďte rodinu, ktorú váš klient alebo brána skutočne vyjednajú.

Site-to-Site VPN vám dáva dva tunely na spojenie a táto redundancia je úloha návrhu, nie funkcia, ktorú možno predpokladať. Prevádzka zákazníckej brány, prepínanie trás pri zlyhaní a pokrytie testami treba naplánovať; porovnanie jednej relácie notebooku s abstraktným VPN serverom nič nedokazuje ani o jednom z nich.

Kde sa oba návrhy stretávajú

Služby sa nevylučujú a bežná produkčná podoba používa obe: zamestnanci na Client VPN, pobočkové siete na Site-to-Site, s výslovnými trasami a zásadami prístupu medzi cieľmi, ktoré spolu musia komunikovať. Tabuľka je zhrnutím štyroch kontrol, nie náhradou za ich vykonanie.

Jedna vec, ktorú ani jeden z produktov nenahradí: TLS k aplikácii, ktorej požiadavka na šifrovanie siaha za koncový bod VPN. Ak váš rozsah zhody končí pri aplikácii, tunel je transport a certifikát je stále kontrola.

Zapíšte štyri odpovede pred revíziou návrhu, každú na jeden riadok. Keď si dve odporujú — povedzme klientsky návrh s autentizáciou používateľa a požiadavka na smerovanie v rozsahu pobočky — ten rozpor je zistenie a je lacnejšie vidieť ho teraz než pri prechode.