EC2 Windows: VPN-klient, VPN-server eller AWS-gateway?
En Windows EC2-instans kan köra VPN-programvara, men en klient, en självadministrerad server och en AWS-gateway är olika roller med olika ägare.
Ett team behöver VPN-anslutning för en app som körs på en Windows EC2-instans, hittar kompatibel klientprogramvara, installerar den och frågar sedan varför resten av VPC:n inte kan använda den. Installationen fungerade; rollen bestämdes aldrig. Programvara som körs inuti en gäst kan vara en klient som ansluter till någon annans nätverk, en server som tar emot andra klienter, eller ingen av de AWS-hanterade VPN-produkterna, och varje roll lämnar olika arbete hos dig.
Symtomet är oftast fel roll
Det vanliga symtomet är en fungerande tunnel som löser fel problem. En klient i VM:en ger den VM:en en utgående väg; den ger inte din laptop, ditt kontor eller ett annat subnät en väg in. En server i VM:en ger andra en väg in, men nu äger du lyssnaren, autentiseringen och vidarebefordran.
Hanterade tjänster flyttar tjänstdriften till AWS och lämnar designen hos dig. Site-to-Site VPN kopplar ihop nätverk via en kundgateway och en AWS-gateway, och Client VPN ger fjärrenheter en hanterad slutpunkt. I båda fallen är rutterna, auktoriseringsreglerna och identitetskällan din konfiguration, och ingen av produkterna installerar en allmän klient inuti en Windows-gäst.
Fyra former är möjliga, och tabellen skiljer dem åt efter vad som ansluter till vad och vem som bär driftbördan.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Läs raden, inte produktnamnet: samma Windows-instans kan stå i två olika rader beroende på vilken programvara som körs i den.
Klient inuti VM:en: VM:en ansluter till ett nätverk
En utgående klient måste få Windows-versionen, arkitekturen och drivrutinskraven kontrollerade innan något installeras. Klienten ändrar rutter och DNS på instansen, vilket kan påverka tjänster som redan körs där, inklusive vägen du använder för fjärradministration. Anteckna adapterns namn och det gränssnittsmetrik som klienten sätter, eftersom det nya gränssnittet kan få företräde framför det befintliga. Om instansen hanteras via en sessionshanterare i stället för SSH eller RDP, bekräfta att den vägen fortfarande fungerar efter att klienten ansluter.
Bestäm vilken trafik klienten ska bära innan du aktiverar den. En full tunnel kan fånga administrationssessionen och låsa ute dig, och en delad tunnel kan låta instansen nå det privata nätverket medan dess övriga trafik tar en annan väg ut. Testa med en andra administrationsväg tillgänglig, och anteckna rutterna som klienten installerar så att en senare ändring går att förklara.
Server inuti VM:en: andra klienter ansluter till den
För en självadministrerad server äger du lyssnaren, certifikatet eller nyckelmaterialet, användardatabasen och vidarebefordringsreglerna. Om servern vidarebefordrar trafik för andra klienter blir instansen en router, och det kräver vidarebefordran på gästnivå plus ändringar av rutter och säkerhetsgrupper på AWS-nivå.
Testa lyssnaren från gästen och igen från ett annat subnät, testa sedan en värd som instansen vidarebefordrar till. En frisk lokal tjänst bevisar ingenting om den vidarebefordrade vägen, så anteckna båda resultaten i ändringsanteckningen.
Hanterade gateways behåller tjänsten, inte din åtkomstdesign
AWS Site-to-Site VPN dokumenterar tunnelrollerna för kundgatewayen och AWS-gatewayen, och köpet av den anslutningen ersätter inte varje fjärråtkomstdesign. Client VPN dokumenterar en hanterad slutpunkt med klientpersoner, medan auktoriseringsreglerna och målrutterna förblir dina. AWS håller slutpunkten och dess certifikat igång; vem som får nå vilken applikation är fortfarande en auktoriseringsregel som du skriver och underhåller.
Välj mellan produkterna på fem axlar: vilken roll varje spelar, vilka protokoll den accepterar, vilken identitetskälla den förväntar sig, hur trafik vidarebefordras och hur tillgänglighet levereras. Ignorera varje enskild genomströmningssiffra som citeras i en forumtråd, eftersom den publicerade kapaciteten rör sig med tjänsten. Och anta inte att ett hanterat tunnelpar ändrar beteendet hos en godtycklig gästklient.
Välj rollen före produkten
Skriv en mening som namnger riktningen: denna VM ansluter till ett nätverk, denna VM tar emot klienter, eller en AWS-gateway kopplar ihop definierade nätverk.
Den meningen avgör produktlistan, ägaren av programvaran och de felmoder du ska felsöka. Om kravet är att fjärranvändare når en applikation är en klient installerad i applikationens VM fel form. Om kravet är att en VM når ett partnernätverk är en hanterad plats-till-plats-gateway mer maskineri än uppgiften behöver. Båda svaren är legitima; bara ett av dem passar meningen du skrev.