EC2 Windows: VPN клијент, VPN сервер или AWS пролаз?
Windows EC2 инстанца може да покреће VPN софтвер, али клијент, самостално управљани сервер и AWS пролаз су различите улоге с различитим власницима.
Тим има потребу за VPN повезивањем за апликацију која ради на Windows EC2 инстанци, пронађе компатибилан клијентски софтвер, инсталира га и затим пита зашто остатак VPC-а не може да га користи. Инсталација је успела; улога никада није одређена. Софтвер који ради унутар госта може бити клијент који се придружује туђој мрежи, сервер који прихвата друге клијенте или ниједан од AWS-ових управљаних VPN производа, и свака улога оставља вам другачији посао.
Симптом је обично погрешна улога
Уобичајени симптом је тунел који ради, али решава погрешан проблем. Клијент у VM-у даје том VM-у излазни пут; не даје вашем преносном рачунару, канцеларији или другој подмрежи пут унутра. Сервер у VM-у даје другима пут унутра, али сада ви поседујете слушаоца, аутентификацију и прослеђивање.
Управљане услуге премештају рад услуге на AWS и остављају пројекат вама. Site-to-Site VPN повезује мреже кроз кориснички пролаз и AWS пролаз, а Client VPN даје удаљеним уређајима управљану крајњу тачку. У оба случаја руте, правила ауторизације и извор идентитета су ваша конфигурација, и ниједан производ не инсталира клијента опште намене унутар Windows госта.
Могућа су четири облика, а табела их раздваја према томе шта се са чим повезује и ко носи оперативни терет.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Читајте ред, а не назив производа: иста Windows инстанца може стајати у два различита реда зависно од тога који софтвер у њој ради.
Клијент унутар VM-а: VM се придружује мрежи
Излазни клијент мора да провери издање Windows-а, архитектуру и захтеве за драјвере пре него што се било шта инсталира. Клијент ће променити руте и DNS на инстанци, што може утицати на услуге које тамо већ раде, укључујући пут који користите за даљинску администрацију. Забележите назив адаптера и метрику интерфејса коју клијент поставља, јер нови интерфејс може добити предност над постојећим. Ако се инстанцом управља кроз менаџер сесија уместо преко SSH-а или RDP-а, потврдите да тај пут и даље ради након што се клијент повеже.
Одлучите који саобраћај клијент треба да носи пре него што га укључите. Пун тунел може да захвати административну сесију и закључа вас напољу, а подељени тунел може да остави инстанцу да достигне приватну мрежу док њен остали саобраћај иде другим излазом. Тестирајте са доступним другим административним путем и забележите руте које клијент инсталира, како би каснија промена била објашњива.
Сервер унутар VM-а: други клијенти му се придружују
За самостално управљани сервер ви поседујете слушаоца, сертификат или кључни материјал, базу корисника и правила прослеђивања. Ако сервер прослеђује саобраћај за друге клијенте, инстанца постаје рутер, а то захтева прослеђивање на нивоу госта плус промене рута и безбедносних група на нивоу AWS-а.
Проверите слушаоца из госта и поново из друге подмреже, затим проверите домаћин ка коме инстанца прослеђује. Здрава локална услуга не доказује ништа о прослеђеном путу, зато забележите оба резултата у белешку о промени.
Управљани пролази задржавају услугу, не ваш дизајн приступа
AWS Site-to-Site VPN документује улоге тунела корисничког пролаза и AWS пролаза, и куповина те везе не замењује сваки дизајн даљинског приступа. Client VPN документује управљану крајњу тачку са клијентским персонама, док правила ауторизације и циљне руте остају ваша. AWS одржава крајњу тачку и њене сертификате у раду; ко сме да достигне коју апликацију и даље је правило ауторизације које пишете и одржавате.
Изаберите међу производима на пет оса: коју улогу сваки игра, које протоколе прихвата, који извор идентитета очекује, како се саобраћај прослеђује и како се обезбеђује доступност. Игноришите било коју појединачну бројку пропусности цитирану у форумској теми, јер се објављени капацитет мења са услугом. И не претпостављајте да управљан пар тунела мења понашање произвољног гостујућег клијента.
Изаберите улогу пре производа
Напишите једну реченицу која именује смер: ова машина се придружује мрежи, ова машина прихвата клијенте или AWS пролаз повезује дефинисане мреже.
Та реченица одређује кратак списак производа, власника софтвера и режиме отказа које ћете отклањати. Ако је захтев да удаљени корисници достигну апликацију, клијент инсталиран у VM-у апликације је погрешан облик. Ако је захтев да једна машина достигне партнерску мрежу, управљан пролаз од локације до локације је више механизма него што задатак тражи. Оба одговора су легитимна; само један од њих одговара реченици коју сте написали.