EC2 Windows: odjemalec VPN, strežnik VPN ali prehod AWS?
Primerek EC2 s sistemom Windows lahko izvaja programsko opremo VPN, vendar so odjemalec, samostojno upravljani strežnik in prehod AWS različne vloge z različnimi lastniki.
Ekipa potrebuje povezljivost VPN za aplikacijo, ki teče na primerku EC2 s sistemom Windows, najde združljivo odjemalsko programsko opremo, jo namesti in nato vpraša, zakaj je preostali del VPC ne more uporabljati. Namestitev je uspela; vloga ni bila nikoli določena. Programska oprema, ki teče znotraj gosta, je lahko odjemalec, ki se pridruži tujemu omrežju, strežnik, ki sprejema druge odjemalce, ali noben od obeh izdelkov VPN, ki jih upravlja AWS, in vsaka vloga vam pusti drugačno delo.
Simptom je običajno napačna vloga
Pogost simptom je delujoč tunel, ki rešuje napačen problem. Odjemalec v VM da tej VM izhodno pot; ne da pa vašemu prenosniku, pisarni ali drugi podomrežju poti noter. Strežnik v VM da drugim pot noter, vendar zdaj imate poslušalca, preverjanje pristnosti in posredovanje.
Upravljane storitve premaknejo delovanje storitve v AWS in oblikovanje pustijo vam. Site-to-Site VPN poveže omrežja prek odjemalskega prehoda in prehoda AWS, Client VPN pa oddaljenim napravam da upravljano končno točko. V obeh primerih so poti, pravila za odobritev in vir identitete vaša konfiguracija in noben izdelek ne namesti odjemalca splošnega namena znotraj gosta Windows.
Možne so štiri oblike, tabela pa jih loči po tem, kaj se s čim poveže in kdo nosi obratovalno breme.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Berite vrstico, ne imena izdelka: isti primerek sistema Windows je lahko v dveh različnih vrsticah, odvisno od programske opreme, ki teče v njem.
Odjemalec v VM: VM se pridruži omrežju
Izhodni odjemalec mora pred namestitvijo česar koli preveriti različico sistema Windows, arhitekturo in zahteve gonilnikov. Odjemalec bo spremenil poti in DNS na primerku, kar lahko vpliva na storitve, ki tam že tečejo, vključno s potjo, ki jo uporabljate za oddaljeno upravljanje. Zabeležite ime vmesnika in metriko vmesnika, ki jo nastavi odjemalec, ker ima lahko novi vmesnik prednost pred obstoječim. Če se primerek upravlja prek upravitelja sej namesto prek SSH ali RDP, potrdite, da ta pot deluje tudi po povezavi odjemalca.
Odločite se, kateri promet naj odjemalec prenaša, preden ga omogočite. Polni tunel lahko ujame upravljavsko sejo in vas zaklene zunaj, deljeni tunel pa lahko primerku omogoči doseganje zasebnega omrežja, medtem ko njegov preostali promet gre skozi drug izhod. Preizkusite z razpoložljivo drugo upravljavsko potjo in zabeležite poti, ki jih namesti odjemalec, da bo poznejša sprememba pojasnljiva.
Strežnik v VM: drugi odjemalci se mu pridružijo
Pri samostojno upravljanem strežniku imate poslušalca, potrdilo ali ključno gradivo, zbirko uporabnikov in pravila posredovanja. Če strežnik posreduje promet za druge odjemalce, primerek postane usmerjevalnik, kar zahteva posredovanje na ravni gosta ter spremembe poti in varnostnih skupin na ravni AWS.
Preizkusite poslušalca iz gosta in znova iz drugega podomrežja, nato preizkusite gostitelja, za katerega primerek posreduje. Zdrava lokalna storitev ne dokazuje ničesar o posredovani poti, zato oba rezultata zabeležite v opombo o spremembi.
Upravljani prehodi ohranjajo storitev, ne vaše zasnove dostopa
AWS Site-to-Site VPN dokumentira vlogi tunelov odjemalskega prehoda in prehoda AWS, nakup te povezave pa ne nadomesti vsake zasnove oddaljenega dostopa. Client VPN dokumentira upravljano končno točko s personami odjemalcev, medtem ko pravila za odobritev in ciljne poti ostanejo vaše. AWS vzdržuje končno točko in njena potrdila v delovanju; kdo lahko doseže katero aplikacijo, je še vedno pravilo za odobritev, ki ga pišete in vzdržujete.
Izberite med izdelki po petih oseh: kakšno vlogo ima vsak, katere protokole sprejema, kateri vir identitete pričakuje, kako se promet posreduje in kako je zagotovljena razpoložljivost. Ne upoštevajte nobene posamezne številke prepustnosti, navedene v niti foruma, ker se objavljena zmogljivost spreminja s storitvijo. In ne predpostavljajte, da upravljani par tunelov spremeni vedenje poljubnega gostujočega odjemalca.
Izberite vlogo pred izdelkom
Napišite en stavek, ki poimenuje smer: ta VM se pridruži omrežju, ta VM sprejema odjemalce ali prehod AWS poveže določena omrežja.
Ta stavek določi ožji seznam izdelkov, lastnika programske opreme in načine odpovedi, ki jih boste razhroščevali. Če je zahteva, da oddaljeni uporabniki dosežejo aplikacijo, je odjemalec, nameščen v VM aplikacije, napačna oblika. Če je zahteva, da ena VM doseže partnersko omrežje, je upravljani prehod mesto-mesto več strojev, kot jih naloga potrebuje. Oba odgovora sta legitimna; le eden ustreza stavku, ki ste ga napisali.