AWS Client VPN ali Site-to-Site: preverite, kdo odpre povezavo

To odločijo štiri preveritve in nobena od njih ni ime protokola. Kdo odpre povezavo, kaj AWS preveri, kako se povezava pripne na vaše omrežje ter kakšno usmerjanje in politika prideta z njo. Odgovorite po vrsti in izbira izdelka se običajno zgodi sama; odgovorite šele po tem, ko ste načrt že kupili, in zagovarjali boste tunel, ki rešuje napačno polovico problema. Nobena od štirih ne zahteva, da izberete šifriranje, zato je načrt, ki se začne s protokolom, običajno znak, da zahteve nikoli niso bile zapisane.

Vsako preveritev izvedite glede na dejansko končno točko, odjemalca in družino naslovov, ki jih nameravate uporabiti, ne glede na kategorijo. Upravljani izdelki VPN se razlikujejo od gradnikov OpenVPN in IPsec, ki so jim podobni.

Najprej, kdo odpre povezavo

Če je tisto, kar potrebuje dostop, prenosnik, telefon ali delovna postaja enega skrbnika, se povezava začne na oddaljeni napravi in načrt je oddaljeni dostop odjemalca. Če je tisto, kar potrebuje dostop, podružnica, polna strojev za enim usmerjevalnikom, se povezava začne na tem usmerjevalniku in načrt je prehod-na-prehod. To je preveritev, ki odloči večino primerov, in prav to ljudje preskočijo, ko je predstavitev dobavitelja pogovor že uokvirila okoli šifriranja.

Ustavite se tukaj, če ne morete poimenovati komponente, ki povezavo sproži. Načrt, ki poskuša postreči oba primera z enim tunelom, se običajno konča z odjemalsko sejo, ki se pretvarja, da je prehod.

Drugič, kaj AWS preveri

Pri Client VPN AWS preveri konfigurirano identiteto odjemalca ali uporabnika: potrdila, imenik ali zvezno identiteto, odvisno od nastavitve. Pri Site-to-Site VPN AWS preveri identiteto partnerja prehoda. Ta razlika ni kozmetična. En model se skalira z dodajanjem uporabnikov in preklicem njihovih poverilnic; drugi z zaupanjem vsemu, kar stoji za enim prehodom.

Preverjanje prehoda ne preveri vsakega zaposlenega ali aplikacije za njim, zato ohranite identitete aplikacij in dostop na ravni vira, tudi ko je tunel sam zaupanja vreden. Podružnica, katere usmerjevalnik ima veljavno identiteto partnerja, se ne sme samodejno brati, kot da je vsaka miza v tej stavbi pooblaščena.

Tretjič, kako se povezava pripne

Client VPN se pripne prek povezav podsemetov VPC ali podprte neposredne priključitve na Transit Gateway. Site-to-Site VPN se pripne na cilj AWS VPN, običajno na navidezni zasebni prehod ali na Transit Gateway. Vodnik po arhitekturi Client VPN dokumentira možnost Transit Gateway in njen obstoj ne spremeni seje prenosnika v podružnični prehod niti ne odstrani zgoraj opisane preveritve in pooblastitve odjemalca.

Preverite priključitev, ki jo vaš račun in regija dejansko podpirata, preden okoli nje načrtujete poti, nato preverite, komu ta priključitev pripada. Možnost, ki obstaja v dokumentaciji, a leži v omrežju, ki ga ne morete konfigurirati, ni možnost.

Četrtič, kakšno usmerjanje in politika prideta z njo

Client VPN prinese upravljanje odjemalskih povezav in pravila pooblastitve za ciljna omrežja, ki jih dovolite. Povezan uporabnik še vedno potrebuje predvideno pot do končne točke, pravilo pooblastitve, ki jo dovoli, in dostop, ki ga zahteva sam vir. Site-to-Site VPN usmerja med omrežji, ki jih predstavlja odjemalski prehod, z uporabo podprtih statičnih poti ali BGP, odvisno od načrta, zato posamezni stroji za podružničnim usmerjevalnikom ne potrebujejo vsak svoje prijave odjemalca.

Ne sklepajte o nepodprtem vedenju iz kategorije v nobeno smer. VPN za oddaljeni dostop niso univerzalno nezmožne prenašati povratnega prometa ali podpirati ureditev s prehodom in IPsec ni samodejno blokiran z NAT — AWS dokumentira prehod skozi NAT in zahteve za odjemalski prehod, dejanska omejitev pa je podprta konfiguracija prehoda. Preverite omejitve svoje končne točke, preden zahtevate povezave, sprožene proti odjemalcem, ali posredujete LAN za eno sejo. Enaka previdnost velja za družine naslovov: končna točka, ki deluje prek IPv4, ne pomeni poti IPv6, zato potrdite družino, o kateri se bo vaš odjemalec ali prehod dejansko pogajal.

Site-to-Site VPN vam da dva tunela na povezavo in ta redundanca je načrtovalska naloga, ne funkcija, ki jo lahko predpostavite. Delovanje odjemalskega prehoda, preklop poti ob okvari in pokritost s testi je treba načrtovati; primerjava ene seje prenosnika z abstraktnim strežnikom VPN ne dokaže ničesar o nobenem od njiju.

Kjer se načrta srečata

Storitve se ne izključujeta in običajna proizvodna oblika uporablja obe: zaposleni na Client VPN, podružnična omrežja na Site-to-Site, z izrecnimi potmi in politiko dostopa med cilji, ki morajo komunicirati. Tabela je povzetek štirih preveritev, ne nadomestilo za njihovo izvedbo.

Ena stvar, ki je ne nadomesti noben od obeh izdelkov: TLS do aplikacije, katere zahteva po šifriranju sega onkraj končne točke VPN. Če se vaš obseg skladnosti konča pri aplikaciji, je tunel prenos in potrdilo je še vedno kontrola.

Zapišite štiri odgovore pred pregledom načrta, vsakega v eno vrstico. Ko si dva nasprotujeta — recimo, odjemalski načrt s preverjanjem uporabnika in zahteva po usmerjanju v velikosti podružnice — je to nasprotje ugotovitev in ceneje ga je videti zdaj kot med prehodom.