EC2 Windows: klient VPN, server VPN apo portë AWS?
Një instancë EC2 Windows mund të ekzekutojë software VPN, por një klient, një server i administruar vetë dhe një portë AWS janë role të ndryshme me pronarë të ndryshëm.
Një ekip ka nevojë për lidhje VPN për një aplikacion që ekzekutohet në një instancë EC2 Windows, gjen software klienti të përputhshëm, e instalon dhe më pas pyet pse pjesa tjetër e VPC nuk mund ta përdorë. Instalimi funksionoi; roli nuk u vendos kurrë. Software-i që ekzekutohet brenda një mysafiri mund të jetë një klient që bashkohet me rrjetin e dikujt tjetër, një server që pranon klientë të tjerë, ose asnjë nga dy produktet VPN të administruara nga AWS, dhe çdo rol lë një punë të ndryshme tek ju.
Simptomi zakonisht është roli i gabuar
Simptomi i zakonshëm është një tunel që funksionon dhe zgjidh problemin e gabuar. Një klient në VM i jep asaj VM një rrugë dalëse; nuk i jep laptopit, zyrës ose një nënrrjete tjetër një rrugë hyrëse. Një server në VM u jep të tjerëve një rrugë hyrëse, por tani ju zotëroni dëgjuesin, autentikimin dhe përcjelljen.
Shërbimet e administruara e zhvendosin operimin e shërbimit në AWS dhe e lënë dizajnin tek ju. Site-to-Site VPN lidh rrjetet përmes një porte klienti dhe një porte AWS, dhe Client VPN u jep pajisjeve në distancë një pikë fundore të administruar. Në të dyja rastet rrugët, rregullat e autorizimit dhe burimi i identitetit janë konfigurimi juaj, dhe asnjë prej produkteve nuk instalon një klient me qëllim të përgjithshëm brenda një mysafiri Windows.
Katër forma janë të mundshme, dhe tabela i ndan ato sipas asaj se çfarë lidhet me çfarë dhe kush mban barrën operative.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Lexoni rreshtin, jo emrin e produktit: e njëjta instancë Windows mund të qëndrojë në dy rreshta të ndryshëm në varësi të software-it që ekzekutohet në të.
Klient brenda VM: VM bashkohet me një rrjet
Një klient dalës duhet të ketë kontrolluar ndërtimin e Windows, arkitekturën dhe kërkesat e drejtuesve përpara se të instalohet ndonjë gjë. Klienti do të ndryshojë rrugët dhe DNS-në në instancë, gjë që mund të ndikojë në shërbimet që tashmë ekzekutohen atje, duke përfshirë rrugën që përdorni për administrim në distancë. Shënoni emrin e përshtatësit dhe metrikën e ndërfaqes që vendos klienti, sepse ndërfaqja e re mund të marrë përparësi ndaj asaj ekzistuese. Nëse instanca administrohet përmes një menaxheri sesionesh në vend të SSH ose RDP, konfirmoni që ajo rrugë ende funksionon pasi klienti lidhet.
Vendosni se çfarë trafiku duhet të mbajë klienti përpara se ta aktivizoni. Një tunel i plotë mund të kapë sesionin e administrimit dhe t'ju bllokojë jashtë, dhe një tunel i ndarë mund ta lërë instancën të arrijë rrjetin privat ndërsa trafiku tjetër i saj merr një dalje tjetër. Testoni me një rrugë të dytë administrimi të disponueshme, dhe shënoni rrugët që instalon klienti, që një ndryshim i mëvonshëm të jetë i shpjegueshëm.
Server brenda VM: klientë të tjerë i bashkohen atij
Për një server të administruar vetë ju zotëroni dëgjuesin, certifikatën ose materialin e çelësit, bazën e përdoruesve dhe rregullat e përcjelljes. Nëse serveri përcjell trafik për klientë të tjerë, instanca bëhet një ruter, dhe kjo kërkon përcjellje në nivel mysafiri plus ndryshime rrugësh dhe grupesh sigurie në nivel AWS.
Provoni dëgjuesin nga mysafiri dhe përsëri nga një nënrrjet tjetër, më pas provoni një host për të cilin instanca përcjell. Një shërbim lokal i shëndetshëm nuk provon asgjë për rrugën e përcjellë, prandaj shënoni të dy rezultatet në shënimin e ndryshimit.
Portat e administruara e mbajnë shërbimin, jo dizajnin tuaj të aksesit
AWS Site-to-Site VPN dokumenton rolet e tuneleve të portës së klientit dhe portës AWS, dhe blerja e asaj lidhjeje nuk zëvendëson çdo dizajn të aksesit në distancë. Client VPN dokumenton një pikë fundore të administruar me persona klienti, ndërsa rregullat e autorizimit dhe rrugët e synimit mbeten tuajat. AWS e mban pikën fundore dhe certifikatat e saj në punë; kush mund të arrijë cilën aplikacion mbetet një rregull autorizimi që ju shkruani dhe mirëmbani.
Zgjidhni midis produkteve në pesë akse: çfarë roli luan secili, cilat protokolle pranon, çfarë burimi identiteti pret, si përcillet trafiku dhe si ofrohet disponueshmëria. Injoroni çdo shifër të vetme të xhiros të cituar në një temë forumi, sepse kapaciteti i publikuar lëviz me shërbimin. Dhe mos supozoni se një palë tunele të administruara ndryshon sjelljen e një klienti mysafir arbitrar.
Zgjidhni rolin përpara produktit
Shkruani një fjali që emërton drejtimin: kjo VM bashkohet me një rrjet, kjo VM pranon klientë, ose një portë AWS lidh rrjete të përcaktuara.
Ajo fjali vendos listën e shkurtër të produkteve, pronarin e software-it dhe mënyrat e dështimit që do të korrigjoni. Nëse kërkesa është që përdoruesit në distancë të arrijnë një aplikacion, një klient i instaluar në VM-në e aplikacionit është forma e gabuar. Nëse kërkesa është që një VM të arrijë rrjetin e një partneri, një portë e administruar nga vendi në vend është më shumë mekanizma sesa i nevojitet detyrës. Të dyja përgjigjet janë legjitime; vetëm njëra përputhet me fjalinë që shkruat.