AWS Client VPN или Site-to-Site: проверите ко успоставља везу

Ово одређују четири провере и ниједна од њих није назив протокола. Ко отвара везу, шта AWS аутентификује, како се веза прикључује на вашу мрежу и које рутирање и правила долазе с њом. Одговорите на то редом и избор производа се обично сам наметне; одговорите након што сте већ купили дизајн и бранићете тунел који решава погрешну половину проблема. Ниједна од четири не тражи да одаберете шифру, зато је дизајн који почиње протоколом обично знак да захтеви никада нису записани.

Сваку проверу изведите према стварном крајњем одредишту, клијенту и фамилији адреса које намеравате да користите, а не према категорији. Управљани VPN производи разликују се од OpenVPN и IPsec градивних блокова на које личе.

Прво, ко отвара везу

Ако је оно чему треба приступ лаптоп, телефон или радна станица једног администратора, веза почиње на удаљеном уређају и дизајн је удаљени клијентски приступ. Ако је оно чему треба приступ филијала пуна машина иза једног рутера, веза почиње на том рутеру и дизајн је пролаз-према-пролазу. То је провера која решава већину случајева и управо је људи прескачу када је презентација добављача већ уоквирила разговор око шифри.

Зауставите се овде ако не можете да именујете компоненту која иницира. Дизајн који покушава да послужи оба случаја једним тунелом обично заврши клијентском сесијом која се претвара да је пролаз.

Друго, шта AWS аутентификује

Са Client VPN-ом AWS аутентификује конфигурисани клијентски или кориснички идентитет: сертификате, директоријум или федеративни идентитет, зависно од подешавања. Са Site-to-Site VPN-ом AWS аутентификује идентитет пролаза партнера. Та разлика није козметичка. Један модел скалира додавањем корисника и укидањем њихових акредитива; други скалира веровањем у све што стоји иза једног пролаза.

Аутентификација пролаза не аутентификује сваког запосленог ни апликацију иза њега, зато задржите идентитете апликација и приступ на нивоу ресурса чак и када је сам тунел поуздан. Филијала чији рутер има важећи идентитет партнера не сме се аутоматски читати као да је сваки сто у тој згради овлашћен.

Треће, како се веза прикључује

Client VPN прикључује се кроз асоцијације подмрежа у VPC-у или подржани директни прикључак на Transit Gateway. Site-to-Site VPN прикључује се на циљ AWS VPN-а, најчешће виртуелни приватни пролаз или Transit Gateway. Водич кроз архитектуру Client VPN-а документује опцију Transit Gateway и њено постојање не претвара сесију лаптопа у филијални пролаз нити уклања горе описане аутентификацију и ауторизацију клијента.

Проверите прикључак који ваш налог и регија стварно подржавају пре него што око њега пројектујете руте, па проверите коме тај прикључак припада. Опција која постоји у документацији али се налази на мрежи коју не можете да конфигуришете није опција.

Четврто, која рутирања и правила долазе с њом

Client VPN доноси управљање клијентским везама и правила ауторизације за одредишне мреже које дозвољавате. Повезани корисник и даље треба предвиђену руту до крајњег одредишта, правило ауторизације које је дозвољава и онај приступ који сам ресурс захтева. Site-to-Site VPN рутира између мрежа представљених корисничким пролазом, користећи подржане статичке руте или BGP зависно од дизајна, па појединачне машине иза филијалног рутера не требају свака своју клијентску пријаву.

Не извлачите неподржано понашање из категорије ни у једном смеру. VPN-ови за удаљени приступ нису универзално неспособни да преносе повратни саобраћај ни да подржавају распореде с пролазом, а IPsec није аутоматски блокиран NAT-ом — AWS документује NAT traversal и захтеве за кориснички пролаз, а стварно ограничење је подржана конфигурација пролаза. Проверите ограничења за своје крајње одредиште пре него што захтевате везе инициране према клијентима или прослеђујете LAN иза једне сесије. Исто важи и за фамилије адреса: крајње одредиште које ради преко IPv4 не подразумева IPv6 пут, зато потврдите фамилију коју ће ваш клијент или пролаз заиста преговарати.

Site-to-Site VPN даје вам два тунела по вези и та редунданција је пројектни задатак, а не функција коју можете претпоставити. Рад корисничког пролаза, пребацивање рута и покривеност тестовима све се мора планирати; поређење једне сесије лаптопа са апстрактним VPN сервером не доказује ништа ни о једном од њих.

Где се два дизајна сусрећу

Услуге се не искључују и уобичајен производни облик користи обе: запослени на Client VPN-у, филијалне мреже на Site-to-Site, са изричитим рутама и правилима приступа између одредишта која морају да разговарају. Табела је сажетак четири провере, а не замена за њихово спровођење.

Једно што ниједан од два производа не замењује: TLS према апликацији чији захтев за шифровањем сеже даље од крајњег одредишта VPN-а. Ако ваш обим усклађености завршава на апликацији, тунел је транспорт а сертификат је и даље контрола.

Запишите четири одговора пре прегледа дизајна, по један ред сваки. Када се два од њих не слажу — рецимо, клијентски дизајн са аутентификацијом корисника и захтев за рутирањем величине филијале — то неслагање је налаз, и јефтиније га је видети сада него током преласка.