EC2 Windows: VPN klient, VPN server alebo brána AWS?
Inštancia EC2 s Windows môže spúšťať VPN softvér, ale klient, samostatne spravovaný server a brána AWS sú rôzne úlohy s rôznymi vlastníkmi.
Tím potrebuje VPN pripojenie pre aplikáciu bežiacu na inštancii EC2 s Windows, nájde kompatibilný klientsky softvér, nainštaluje ho a potom sa pýta, prečo ho zvyšok VPC nemôže používať. Inštalácia prebehla; úloha nebola nikdy rozhodnutá. Softvér bežiaci vnútri hosťa môže byť klient, ktorý sa pripája k cudzej sieti, server, ktorý prijíma iných klientov, alebo žiadny z produktov VPN spravovaných AWS, a každá úloha vám necháva inú prácu.
Príznakom je zvyčajne nesprávna úloha
Bežným príznakom je funkčný tunel, ktorý rieši nesprávny problém. Klient vo VM dáva tejto VM odchádzajúcu cestu; nedáva vášmu notebooku, kancelárii ani inej podsieti cestu dovnútra. Server vo VM dáva ostatným cestu dovnútra, ale teraz vlastníte poslucháč, autentifikáciu a presmerovanie.
Spravované služby presúvajú prevádzku služby do AWS a návrh nechávajú vám. Site-to-Site VPN prepája siete cez zákaznícku bránu a bránu AWS a Client VPN dáva vzdialeným zariadeniam spravovaný koncový bod. V oboch prípadoch sú trasy, autorizačné pravidlá a zdroj identity vašou konfiguráciou a ani jeden z produktov neinštaluje klienta na všeobecné použitie vnútri hosťa Windows.
Možné sú štyri podoby a tabuľka ich oddeľuje podľa toho, čo sa s čím spája a kto nesie prevádzkové zaťaženie.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Čítajte riadok, nie názov produktu: tá istá inštancia Windows môže sedieť v dvoch rôznych riadkoch podľa toho, aký softvér v nej beží.
Klient vo VM: VM sa pripája k sieti
Odchádzajúci klient potrebuje pred inštaláciou čohokoľvek skontrolovať zostavenie Windows, architektúru a požiadavky na ovládače. Klient zmení trasy a DNS na inštancii, čo môže ovplyvniť služby, ktoré tam už bežia, vrátane cesty, ktorú používate na vzdialenú správu. Zaznamenajte názov adaptéra a metriku rozhrania, ktorú klient nastaví, pretože nové rozhranie môže získať prednosť pred existujúcim. Ak sa inštancia spravuje cez správcu relácií namiesto SSH alebo RDP, potvrďte, že táto cesta po pripojení klienta stále funguje.
Rozhodnite, ktorú prevádzku má klient prenášať, skôr než ho zapnete. Plný tunel môže zachytiť správcovskú reláciu a uzamknúť vás vonku a rozdelený tunel môže nechať inštanciu dosiahnuť privátnu sieť, zatiaľ čo jej ostatná prevádzka ide iným východom. Testujte s dostupnou druhou správcovskou cestou a zaznamenajte trasy, ktoré klient nainštaluje, aby neskoršia zmena bola vysvetliteľná.
Server vo VM: pripájajú sa k nemu ďalší klienti
Pri samostatne spravovanom serveri vlastníte poslucháč, certifikát alebo kľúčový materiál, databázu používateľov a pravidlá presmerovania. Ak server presmerúva prevádzku pre iných klientov, inštancia sa stane smerovačom, a to vyžaduje presmerovanie na úrovni hosťa plus zmeny trás a bezpečnostných skupín na úrovni AWS.
Otestujte poslucháč z hosťa a znova z inej podsiete, potom otestujte hostiteľa, pre ktorý inštancia presmerúva. Zdravá lokálna služba nič nedokazuje o presmerovanej ceste, takže oba výsledky zapíšte do poznámky o zmene.
Spravované brány zachovávajú službu, nie váš návrh prístupu
AWS Site-to-Site VPN dokumentuje úlohy tunelov zákazníckej brány a brány AWS a kúpa tohto pripojenia nenahrádza každý návrh vzdialeného prístupu. Client VPN dokumentuje spravovaný koncový bod s klientskymi personami, zatiaľ čo autorizačné pravidlá a cieľové trasy zostávajú vaše. AWS udržiava koncový bod a jeho certifikáty v prevádzke; kto smie dosiahnuť ktorú aplikáciu, je stále autorizačné pravidlo, ktoré píšete a udržiavate.
Vyberte medzi produktmi podľa piatich osí: akú úlohu zohráva každý, ktoré protokoly prijíma, aký zdroj identity očakáva, ako sa prevádzka presmerúva a ako sa dodáva dostupnosť. Ignorujte akýkoľvek jednotlivý údaj o priepustnosti citovaný vo vlákne fóra, pretože zverejnená kapacita sa mení so službou. A nepredpokladajte, že spravovaná dvojica tunelov mení správanie ľubovoľného hosťujúceho klienta.
Vyberte úlohu pred produktom
Napíšte jednu vetu, ktorá pomenuje smer: táto VM sa pripája k sieti, táto VM prijíma klientov alebo brána AWS prepája definované siete.
Táto veta určuje užší zoznam produktov, vlastníka softvéru a spôsoby zlyhania, ktoré budete ladiť. Ak je požiadavkou, aby vzdialení používatelia dosiahli aplikáciu, klient nainštalovaný vo VM aplikácie je nesprávna podoba. Ak je požiadavkou, aby jedna VM dosiahla partnerskú sieť, spravovaná brána lokality k lokalite je viac strojov, než úloha potrebuje. Obe odpovede sú legitímne; iba jedna zodpovedá vete, ktorú ste napísali.