AWS Client VPN au Site-to-Site: angalia nani anafungua muunganisho

Ukaguzi nne huamua hili, na hakuna mmoja wao ambao ni jina la itifaki. Nani anafungua muunganisho, AWS huthibitisha nini, muunganisho hushikamana vipi na mtandao wako, na uelekezaji na sera gani huja nao. Jibu haya kwa mpangilio na uchaguzi wa bidhaa kwa kawaida hujifanya wenyewe; jibu baada ya kuwa umekwisha kununua muundo na utatetea handaki inayotatua nusu isiyofaa ya tatizo. Hakuna mmoja wa wanne anayekuomba kuchagua cipher, ndiyo sababu muundo unaoanza na itifaki kwa kawaida ni ishara kwamba mahitaji hayakuandikwa kamwe.

Fanya kila ukaguzi dhidi ya mwisho halisi, mteja na familia ya anwani unayokusudia kutumia, si dhidi ya kategoria. Bidhaa za VPN zinazosimamiwa hutofautiana na vipengele vya ujenzi vya OpenVPN na IPsec ambavyo zinafanana navyo.

Kwanza, nani anafungua muunganisho

Ikiwa kitu kinachohitaji ufikiaji ni kompyuta mpakato, simu au kituo cha kazi cha msimamizi mmoja, muunganisho huanza kwenye kifaa cha mbali na muundo ni ufikiaji wa mteja wa mbali. Ikiwa kitu kinachohitaji ufikiaji ni tawi lililojaa mashine nyuma ya kipanga-njia kimoja, muunganisho huanza kwenye kipanga-njia hicho na muundo ni lango-kwa-lango. Huu ndio ukaguzi unaoamua kesi nyingi, na ndio ambao watu huuruka wakati uwasilishaji wa muuzaji umekwisha kuweka mazungumzo ndani ya mfumo wa cipher.

Simama hapa ikiwa huwezi kutaja sehemu inayoanzisha. Muundo unaojaribu kuhudumia kesi zote mbili kwa handaki moja kwa kawaida huishia na kipindi cha mteja kinachojifanya kuwa lango.

Pili, AWS huthibitisha nini

Kwa Client VPN, AWS huthibitisha utambulisho wa mteja au mtumiaji uliowekwa: vyeti, saraka au utambulisho wa shirikisho, kulingana na usanidi. Kwa Site-to-Site VPN, AWS huthibitisha utambulisho wa mwenza wa lango. Tofauti hiyo si ya urembo. Mfumo mmoja hukua kwa kuongeza watumiaji na kubatilisha vitambulisho vyao; mwingine hukua kwa kutumaini kila kitu kilicho nyuma ya lango moja.

Uthibitishaji wa lango hauthibitishi kila mfanyakazi au programu iliyo nyuma yake, kwa hivyo dumisha utambulisho wa programu na ufikiaji wa kiwango cha rasilimali hata wakati handaki yenyewe inaaminika. Tawi ambalo kipanga-njia chake kina utambulisho halali wa mwenza halipaswi kusomwa kiotomatiki kana kwamba kila dawati katika jengo hilo limeidhinishwa.

Tatu, muunganisho hushikamana vipi

Client VPN hushikamana kupitia vyama vya subneti za VPC au kiambatisho cha moja kwa moja cha Transit Gateway kinachotumika. Site-to-Site VPN hushikamana na lengo la AWS VPN, kwa kawaida lango la kibinafsi la mtandao au Transit Gateway. Mwongozo wa usanifu wa Client VPN unaandika chaguo la Transit Gateway, na uwepo wake haugeuzi kipindi cha kompyuta mpakato kuwa lango la tawi wala hauondoi uthibitishaji na uidhinishaji wa mteja ulioelezwa hapo juu.

Angalia kiambatisho ambacho akaunti yako na eneo lako kwa kweli vinaunga mkono kabla ya kubuni njia kuzunguka, kisha angalia kiambatisho hicho ni cha nani. Chaguo ambalo lipo katika nyaraka lakini liko kwenye mtandao ambao huwezi kuusanidi si chaguo.

Nne, uelekezaji na sera gani huja nao

Client VPN huleta usimamizi wa miunganisho ya wateja na kanuni za uidhinishaji kwa mitandao lengwa unayoiruhusu. Mtumiaji aliyeunganishwa bado anahitaji njia iliyokusudiwa hadi mwisho, kanuni ya uidhinishaji inayoiruhusu, na ufikiaji wowote ambao rasilimali yenyewe inahitaji. Site-to-Site VPN huelekeza kati ya mitandao inayowakilishwa na lango la mteja, kwa kutumia njia tuli zinazotumika au BGP kulingana na muundo, kwa hivyo mashine binafsi nyuma ya kipanga-njia cha tawi hazihitaji kila moja kuingia kama mteja.

Usikisie tabia isiyotumika kutoka kwa kategoria kwa upande wowote. VPN za ufikiaji wa mbali si kwa jumla haziwezi kubeba trafiki inayorudi au kuunga mkono mipangilio ya lango, na IPsec haizuiwi kiotomatiki na NAT — AWS inaandika upitishaji wa NAT na mahitaji ya lango la mteja, na kizuizi halisi ni usanidi wa lango unaotumika. Angalia vikwazo vya mwisho wako kabla ya kuhitaji miunganisho inayoanzia kwa wateja au kupeleka LAN nyuma ya kipindi kimoja. Tahadhari hiyo hiyo inatumika kwa familia za anwani: mwisho unaofanya kazi kupitia IPv4 haumaanishi njia ya IPv6, kwa hivyo thibitisha familia ambayo mteja wako au lango lako litajadili kwa kweli.

Site-to-Site VPN hukupa handaki mbili kwa kila muunganisho, na upungufu huo ni kazi ya muundo na si kipengele unachoweza kudhani. Uendeshaji wa lango la mteja, uhamishaji wa njia pale inaposhindikana na ufikiaji wa majaribio vyote vinapaswa kupangwa; kulinganisha kipindi kimoja cha kompyuta mpakato na seva ya VPN isiyo na kielelezo hakuthibitishi chochote kuhusu yoyote yao.

Mahali ambapo miundo miwili inakutana

Huduma hazitengani, na umbo la kawaida la uzalishaji hutumia zote mbili: wafanyakazi kwenye Client VPN, mitandao ya matawi kwenye Site-to-Site, na njia zilizo wazi na sera ya ufikiaji kati ya maeneo ambayo yanapaswa kuwasiliana. Jedwali ni muhtasari wa ukaguzi nne, si mbadala wa kuyafanya.

Kitu kimoja ambacho hakuna bidhaa kati ya hizo mbili inachukua nafasi yake: TLS kwa programu ambayo hitaji lake la usimbaji fiche linapita zaidi ya mwisho wa VPN. Ikiwa wigo wako wa uzingatiaji unaishia kwenye programu, handaki ni usafirishaji na cheti bado ni udhibiti.

Andika majibu manne kabla ya mapitio ya muundo, moja kwa kila mstari. Wakati mawili kati yao hayakubaliani — tuseme, muundo wa mteja uliothibitishwa na mtumiaji na hitaji la uelekezaji la ukubwa wa tawi — kutokubaliana huko ndiko ugunduzi, na ni rahisi kuona sasa kuliko wakati wa mpito.