EC2 Windows: ไคลเอนต์ VPN เซิร์ฟเวอร์ VPN หรือเกตเวย์ AWS?
อินสแตนซ์ EC2 Windows รันซอฟต์แวร์ VPN ได้ แต่ไคลเอนต์ เซิร์ฟเวอร์ที่ดูแลเอง และเกตเวย์ AWS เป็นบทบาทที่ต่างกันและมีเจ้าของต่างกัน
ทีมหนึ่งต้องการการเชื่อมต่อ VPN สำหรับแอปที่รันบนอินสแตนซ์ EC2 Windows จึงหาไคลเอนต์ที่เข้ากันได้ ติดตั้งมัน แล้วถามว่าทำไมส่วนที่เหลือของ VPC ใช้มันไม่ได้ การติดตั้งสำเร็จ แต่ไม่เคยตัดสินใจเรื่องบทบาทเลย ซอฟต์แวร์ที่รันภายในเกสต์อาจเป็นไคลเอนต์ที่เข้าร่วมเครือข่ายของคนอื่น เป็นเซิร์ฟเวอร์ที่รับไคลเอนต์อื่น หรือไม่ใช่ทั้งสองผลิตภัณฑ์ VPN ที่ AWS จัดการ และแต่ละบทบาทก็ทิ้งงานที่ต่างกันไว้ให้คุณ
อาการมักเป็นบทบาทที่ผิด
อาการที่พบบ่อยคืออุโมงค์ที่ทำงานได้แต่แก้ปัญหาผิด ไคลเอนต์ใน VM ให้เส้นทางออกแก่ VM นั้น แต่ไม่ได้ให้ทางเข้าสู่แล็ปท็อป สำนักงาน หรือซับเน็ตอื่นของคุณ เซิร์ฟเวอร์ใน VM ให้ทางเข้าแก่ผู้อื่น แต่ตอนนี้คุณเป็นเจ้าของตัวรับฟัง การพิสูจน์ตัวตน และการส่งต่อ
บริการที่มีการจัดการย้ายการดำเนินงานของบริการไปที่ AWS และเหลือการออกแบบไว้กับคุณ Site-to-Site VPN เชื่อมเครือข่ายผ่านเกตเวย์ของลูกค้าและเกตเวย์ AWS และ Client VPN ให้อุปกรณ์ระยะไกลมีปลายทางที่จัดการแล้ว ในทั้งสองกรณี เส้นทาง กฎการอนุญาต และแหล่งข้อมูลตัวตนคือการกำหนดค่าของคุณ และไม่มีผลิตภัณฑ์ใดติดตั้งไคลเอนต์อเนกประสงค์ภายในเกสต์ Windows
มีรูปร่างที่เป็นไปได้สี่แบบ และตารางแยกตามว่าอะไรเชื่อมกับอะไรและใครแบกภาระการดำเนินงาน
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
อ่านแถว ไม่ใช่ชื่อผลิตภัณฑ์: อินสแตนซ์ Windows เดียวกันอาจอยู่ในสองแถวที่ต่างกันได้ ขึ้นกับว่ามีซอฟต์แวร์ใดรันอยู่ข้างใน
ไคลเอนต์ใน VM: VM เข้าร่วมเครือข่าย
ไคลเอนต์ขาออกต้องให้ตรวจสอบบิลด์ Windows สถาปัตยกรรม และข้อกำหนดไดรเวอร์ก่อนติดตั้งสิ่งใด ไคลเอนต์จะเปลี่ยนเส้นทางและ DNS บนอินสแตนซ์ ซึ่งอาจกระทบบริการที่รันอยู่แล้ว รวมถึงเส้นทางที่คุณใช้สำหรับการดูแลระยะไกล บันทึกชื่ออะแดปเตอร์และเมตริกอินเทอร์เฟซที่ไคลเอนต์ตั้งไว้ เพราะอินเทอร์เฟซใหม่อาจได้ลำดับความสำคัญเหนือของเดิม หากอินสแตนซ์ถูกดูแลผ่านตัวจัดการเซสชันแทน SSH หรือ RDP ให้ยืนยันว่าเส้นทางนั้นยังทำงานหลังไคลเอนต์เชื่อมต่อ
ตัดสินใจว่าอุโมงค์ควรบรรทุกทราฟฟิกใดก่อนเปิดใช้ อุโมงค์เต็มอาจจับเซสชันการดูแลและล็อกคุณออก และอุโมงค์แยกอาจปล่อยให้อินสแตนซ์เข้าถึงเครือข่ายส่วนตัวในขณะที่ทราฟฟิกอื่นออกทางอื่น ทดสอบโดยมีเส้นทางการดูแลที่สองพร้อมใช้งาน และบันทึกเส้นทางที่ไคลเอนต์ติดตั้งเพื่อให้อธิบายการเปลี่ยนแปลงภายหลังได้
เซิร์ฟเวอร์ใน VM: ไคลเอนต์อื่นเข้าร่วมกับมัน
สำหรับเซิร์ฟเวอร์ที่ดูแลเอง คุณเป็นเจ้าของตัวรับฟัง ใบรับรองหรือวัสดุกุญแจ ฐานข้อมูลผู้ใช้ และกฎการส่งต่อ หากเซิร์ฟเวอร์ส่งต่อทราฟฟิกให้ไคลเอนต์อื่น อินสแตนซ์จะกลายเป็นเราเตอร์ และต้องมีการส่งต่อระดับเกสต์บวกกับการเปลี่ยนเส้นทางและกลุ่มความปลอดภัยระดับ AWS
ตรวจสอบตัวรับฟังจากเกสต์และอีกครั้งจากซับเน็ตอื่น แล้วตรวจสอบโฮสต์ที่อินสแตนซ์ส่งต่อไป บริการภายในที่แข็งแรงไม่ได้พิสูจน์สิ่งใดเกี่ยวกับเส้นทางที่ส่งต่อ ดังนั้นบันทึกผลทั้งสองในบันทึกการเปลี่ยนแปลง
เกตเวย์ที่มีการจัดการรักษาบริการ ไม่ใช่การออกแบบการเข้าถึงของคุณ
AWS Site-to-Site VPN เอกสารบทบาทอุโมงค์ของเกตเวย์ลูกค้าและเกตเวย์ AWS และการซื้อการเชื่อมต่อนั้นไม่ได้แทนที่การออกแบบการเข้าถึงระยะไกลทั้งหมด Client VPN เอกสารปลายทางที่จัดการพร้อมเพอร์โซนาของไคลเอนต์ ขณะที่กฎการอนุญาตและเส้นทางเป้าหมายยังเป็นของคุณ AWS รักษาปลายทางและใบรับรองให้ทำงานอยู่ แต่ใครเข้าถึงแอปใดได้ยังเป็นกฎการอนุญาตที่คุณเขียนและดูแล
เลือกผลิตภัณฑ์ด้วยห้าแกน: แต่ละตัวมีบทบาทใด ยอมรับโปรโตคอลใด คาดหวังแหล่งข้อมูลตัวตนใด ทราฟฟิกถูกส่งต่ออย่างไร และความพร้อมใช้งานถูกส่งมอบอย่างไร เพิกเฉยต่อตัวเลขปริมาณงานเดียวใด ๆ ที่อ้างในกระทู้ฟอรัม เพราะความจุที่เผยแพร่เปลี่ยนไปตามบริการ และอย่าสันนิษฐานว่าอุโมงค์คู่ที่มีการจัดการเปลี่ยนพฤติกรรมของไคลเอนต์เกสต์ใด ๆ
เลือกบทบาทก่อนผลิตภัณฑ์
เขียนหนึ่งประโยคที่ระบุทิศทาง: VM นี้เข้าร่วมเครือข่าย VM นี้รับไคลเอนต์ หรือเกตเวย์ AWS เชื่อมเครือข่ายที่กำหนด
ประโยคนั้นเป็นตัวกำหนดรายการผลิตภัณฑ์สั้น ๆ เจ้าของซอฟต์แวร์ และโหมดความล้มเหลวที่คุณจะแก้ไข หากข้อกำหนดคือผู้ใช้ระยะไกลเข้าถึงแอป ไคลเอนต์ที่ติดตั้งใน VM ของแอปคือรูปร่างที่ผิด หากข้อกำหนดคือ VM หนึ่งเข้าถึงเครือข่ายพันธมิตร เกตเวย์ไซต์ถึงไซต์ที่มีการจัดการก็เป็นเครื่องจักรมากกว่างานต้องการ คำตอบทั้งสองถูกต้อง แต่มีเพียงหนึ่งเดียวที่ตรงกับประโยคที่คุณเขียน