AWS Client VPN apo Site-to-Site: kontrolloni kush e hap lidhjen

Katër kontrolle e vendosin këtë dhe asnjëra prej tyre nuk është emri i protokollit. Kush e hap lidhjen, çfarë vërteton AWS, si lidhet lidhja me rrjetin tuaj dhe çfarë rrugëtimi e politike vijnë me të. Përgjigjuni sipas radhës dhe zgjedhja e produktit zakonisht bëhet vetë; përgjigjuni pasi të keni blerë një dizajn dhe do të mbroni një tunel që zgjidh gjysmën e gabuar të problemit. Asnjëra nga katër nuk ju kërkon të zgjidhni një shifër, prandaj një dizajn që nis me protokollin është zakonisht shenjë se kërkesat nuk u shkruan kurrë.

Kryeni çdo kontroll ndaj pikës fundore, klientit dhe familjes së adresave që planifikoni të përdorni, jo ndaj kategorisë. Produktet VPN të menaxhuara ndryshojnë nga blloqet e ndërtimit OpenVPN dhe IPsec të cilave u ngjajnë.

Së pari, kush e hap lidhjen

Nëse ajo që ka nevojë për akses është një laptop, një telefon ose stacioni i punës i një administratori të vetëm, lidhja nis në një pajisje në distancë dhe dizajni është akses klienti në distancë. Nëse ajo që ka nevojë për akses është një degë plot me makina pas një ruteri të vetëm, lidhja nis në atë ruter dhe dizajni është portë-në-portë. Ky është kontrolli që zgjidh shumicën e rasteve, dhe është ai që njerëzit e kalojnë kur një prezantim i furnizorit e ka kornizuar tashmë bisedën rreth shifrave.

Ndaloni këtu nëse nuk mund të emërtoni komponentin që e nis. Një dizajn që përpiqet t'u shërbejë të dy rasteve me një tunel të vetëm zakonisht përfundon me një sesion klienti që hiqet si portë.

Së dyti, çfarë vërteton AWS

Me Client VPN, AWS vërteton identitetin e konfiguruar të klientit ose përdoruesit: certifikata, një drejtori ose një identitet federal, në varësi të konfigurimit. Me Site-to-Site VPN, AWS vërteton identitetin e partnerit të portës. Ky ndryshim nuk është kozmetik. Njëri model shkallëzohet duke shtuar përdorues dhe duke revokuar kredencialet e tyre; tjetri shkallëzohet duke i besuar gjithçkaje që qëndron pas një porte të vetme.

Vërtetimi i portës nuk vërteton çdo punonjës ose aplikacion pas saj, prandaj mbani identitetet e aplikacioneve dhe aksesin në nivel burimi edhe kur vetë tuneli është i besuar. Një degë ruteri i së cilës ka një identitet partneri të vlefshëm nuk duhet të lexohet automatikisht sikur çdo tavolinë në atë ndërtesë të jetë e autorizuar.

Së treti, si lidhet lidhja

Client VPN lidhet përmes shoqatave të nënrrjetit VPC ose një lidhjeje të drejtpërdrejtë Transit Gateway të mbështetur. Site-to-Site VPN lidhet me një destinacion AWS VPN, zakonisht një portë private virtuale ose një Transit Gateway. Udhëzuesi i arkitekturës së Client VPN dokumenton opsionin Transit Gateway, dhe ekzistenca e tij nuk e kthen një sesion laptopi në portë dege dhe nuk heq vërtetimin dhe autorizimin e klientit të përshkruar më sipër.

Kontrolloni lidhjen që llogaria dhe rajoni juaj mbështesin vërtet përpara se të dizajnoni rrugë rreth saj, pastaj kontrolloni kujt i përket ajo lidhje. Një opsion që ekziston në dokumentacion por ndodhet në një rrjet që nuk mund ta konfiguroni nuk është opsion.

Së katërti, çfarë rrugëtimi e politike vijnë me të

Client VPN sjell menaxhimin e lidhjeve të klientëve dhe rregulla autorizimi për rrjetet e destinacionit që lejoni. Një përdorues i lidhur ka ende nevojë për rrugën e synuar drejt pikës fundore, një rregull autorizimi që e lejon atë dhe aksesin që kërkon vetë burimi. Site-to-Site VPN rrugëton midis rrjeteve të përfaqësuara nga një portë klienti, duke përdorur rrugë statike të mbështetura ose BGP në varësi të dizajnit, kështu që makinat individuale pas ruterit të degës nuk kanë secila nevojë për një hyrje klienti.

Mos nxirrni sjellje të pambështetur nga kategoria në asnjë drejtim. VPN-të e aksesit në distancë nuk janë universalisht të paafta të mbajnë trafikun e kthimit ose të mbështesin rregullime me portë, dhe IPsec nuk bllokohet automatikisht nga NAT — AWS dokumenton kalimin e NAT dhe kërkesat për portën e klientit, dhe kufizimi i vërtetë është konfigurimi i portës së mbështetur. Kontrolloni kufizimet për pikën tuaj fundore përpara se të kërkoni lidhje që nisin drejt klientëve ose të përcillni një LAN pas një sesioni. E njëjta kujdes vlen për familjet e adresave: një pikë fundore që punon mbi IPv4 nuk nënkupton një rrugë IPv6, prandaj konfirmoni familjen për të cilën klienti ose porta juaj do të negociojë vërtet.

Site-to-Site VPN ju jep dy tunele për lidhje, dhe ajo tepricë është detyrë dizajni dhe jo funksion që mund të supozohet. Funksionimi i portës së klientit, kalimi i rrugëve në dështim dhe mbulimi me teste duhet të planifikohen të gjitha; krahasimi i një sesioni laptopi me një server VPN abstrakt nuk provon asgjë për asnjërin prej tyre.

Ku takohen dy dizajnet

Shërbimet nuk janë ekskluzive, dhe forma e zakonshme e prodhimit përdor të dyja: punonjësit në Client VPN, rrjetet e degëve në Site-to-Site, me rrugë të qarta dhe politikë aksesi midis destinacioneve që duhet të bisedojnë. Tabela është një përmbledhje e katër kontrolleve, jo një zëvendësim për kryerjen e tyre.

Një gjë që asnjëri prej dy produkteve nuk e zëvendëson: TLS drejt një aplikacioni, kërkesa e kriptimit e të cilit shkon përtej pikës fundore të VPN. Nëse shtrirja juaj e përputhshmërisë përfundon në aplikacion, tuneli është transport dhe certifikata mbetet kontrolli.

Shkruani katër përgjigjet përpara rishikimit të dizajnit, një rresht secila. Kur dy prej tyre nuk pajtohen — të themi, një dizajn klienti i vërtetuar me përdorues dhe një kërkesë rrugëtimi me madhësi dege — ajo mospërputhje është gjetja, dhe është më lirë ta shihni tani sesa gjatë kalimit.