AWS Client VPN o Site-to-Site: tingnan kung sino ang nagbubukas ng koneksyon

Apat na pagsusuri ang nagtatakda nito, at wala sa mga ito ang pangalan ng protocol. Sino ang nagbubukas ng koneksyon, ano ang pinapatunayan ng AWS, paano nakakabit ang koneksyon sa iyong network, at anong routing at patakaran ang kasama nito. Sagutin ang mga ito nang sunod-sunod at ang pagpili ng produkto ay kadalasang nagaganap nang mag-isa; sagutin pagkatapos mong makabili ng disenyo at ipagtatanggol mo ang isang tunnel na lumulutas sa maling kalahati ng problema. Wala sa apat ang humihiling sa iyong pumili ng cipher, kaya't ang disenyong nagsisimula sa protocol ay karaniwang senyales na hindi kailanman naisulat ang mga pangangailangan.

Isagawa ang bawat pagsusuri laban sa aktwal na endpoint, client at pamilya ng address na balak mong gamitin, hindi laban sa kategorya. Ang mga managed VPN product ay naiiba sa OpenVPN at IPsec building blocks na kahawig nila.

Una, sino ang nagbubukas ng koneksyon

Kung ang bagay na nangangailangan ng access ay isang laptop, telepono o workstation ng isang administrador, nagsisimula ang koneksyon sa isang malayong device at ang disenyo ay malayong client access. Kung ang bagay na nangangailangan ng access ay isang sangay na puno ng makina sa likod ng isang router, nagsisimula ang koneksyon sa router na iyon at ang disenyo ay gateway-sa-gateway. Ito ang pagsusuring nagtatakda sa karamihan ng kaso, at ito rin ang nilalaktawan ng mga tao kapag ang presentasyon ng vendor ay naka-frame na ng usapan sa paligid ng cipher.

Huminto dito kung hindi mo kayang pangalanan ang bahaging nagsisimula. Ang disenyong sinusubukang pagsilbihan ang dalawang kaso sa isang tunnel ay kadalasang nagtatapos sa isang client session na nagpapanggap na gateway.

Ikalawa, ano ang pinapatunayan ng AWS

Sa Client VPN, pinapatunayan ng AWS ang naka-configure na pagkakakilanlan ng client o user: mga sertipiko, isang direktoryo o isang federated identity, depende sa setup. Sa Site-to-Site VPN, pinapatunayan ng AWS ang pagkakakilanlan ng kapareha ng gateway. Ang pagkakaibang iyon ay hindi kosmetiko. Ang isang modelo ay lumalaki sa pamamagitan ng pagdaragdag ng user at pagbawi ng kanilang kredensyal; ang isa ay lumalaki sa pamamagitan ng pagtitiwala sa lahat ng nasa likod ng isang gateway.

Ang pagpapatunay ng gateway ay hindi nagpapatunay sa bawat empleyado o application sa likod nito, kaya panatilihin ang pagkakakilanlan ng application at access sa antas ng resource kahit na ang tunnel mismo ay pinagkakatiwalaan. Ang isang sangay na ang router ay may wastong pagkakakilanlan ng kapareha ay hindi dapat awtomatikong basahin na parang bawat mesa sa gusaling iyon ay awtorisado.

Ikatlo, paano nakakabit ang koneksyon

Nakakabit ang Client VPN sa pamamagitan ng mga asosasyon ng subnet ng VPC o isang sinusuportahang direktang attachment sa Transit Gateway. Nakakabit ang Site-to-Site VPN sa isang target ng AWS VPN, kadalasan isang virtual private gateway o isang Transit Gateway. Ang gabay sa arkitektura ng Client VPN ay nagdodokumento ng opsyon na Transit Gateway, at ang pag-iral nito ay hindi ginagawang gateway ng sangay ang isang laptop session o tinatanggal ang pagpapatunay at awtorisasyon ng client na inilarawan sa itaas.

Suriin ang attachment na talagang sinusuportahan ng iyong account at rehiyon bago magdisenyo ng mga ruta sa paligid nito, pagkatapos ay suriin kung kanino ang attachment na iyon. Ang opsyong nasa dokumentasyon ngunit nasa network na hindi mo ma-configure ay hindi opsyon.

Ikaapat, anong routing at patakaran ang kasama nito

Nagdadala ang Client VPN ng pamamahala ng koneksyon ng client at mga tuntunin ng awtorisasyon para sa mga destinasyong network na pinapayagan mo. Kailangan pa rin ng konektadong user ang inilaan na ruta patungo sa endpoint, isang tuntunin ng awtorisasyon na nagpapahintulot nito, at anumang access na hinihingi ng resource mismo. Ang Site-to-Site VPN ay nagruruta sa pagitan ng mga network na kinakatawan ng isang customer gateway, gamit ang mga sinusuportahang static na ruta o BGP depende sa disenyo, kaya ang mga indibidwal na makina sa likod ng router ng sangay ay hindi kailangang mag-login bilang client ang bawat isa.

Huwag maghinuha ng hindi sinusuportahang pag-uugali mula sa kategorya sa alinmang direksyon. Ang mga VPN para sa malayong access ay hindi pangkalahatang walang kakayahang magdala ng return traffic o sumuporta sa mga kaayusan ng gateway, at ang IPsec ay hindi awtomatikong hinaharangan ng NAT — dinodokumento ng AWS ang pagdaan ng NAT at ang mga pangangailangan sa customer gateway, at ang tunay na hadlang ay ang sinusuportahang configuration ng gateway. Suriin ang mga paghihigpit para sa iyong endpoint bago mo hilingin ang mga koneksyong sinisimulan patungo sa mga client o mag-forward ng LAN sa likod ng isang session. Ganoon din ang pag-iingat para sa mga pamilya ng address: ang endpoint na gumagana sa IPv4 ay hindi nangangahulugang may landas na IPv6, kaya't tiyakin ang pamilyang talagang makikipag-usap ng iyong client o gateway.

Binibigyan ka ng Site-to-Site VPN ng dalawang tunnel bawat koneksyon, at ang redundancy na iyon ay gawain sa disenyo at hindi katangiang maaari mong ipagpalagay. Ang operasyon ng customer gateway, ang paglilipat ng ruta kapag nabigo at ang saklaw ng pagsubok ay dapat lahat na planuhin; ang paghahambing ng isang laptop session sa isang abstract na VPN server ay walang pinapatunayan tungkol sa alinman sa dalawa.

Kung saan nagtatagpo ang dalawang disenyo

Ang mga serbisyo ay hindi eksklusibo, at ang karaniwang anyo ng produksyon ay gumagamit ng pareho: mga empleyado sa Client VPN, mga network ng sangay sa Site-to-Site, na may tahasang mga ruta at patakaran sa access sa pagitan ng mga destinasyong kailangang mag-usap. Ang talahanayan ay buod ng apat na pagsusuri, hindi kapalit ng pagsasagawa ng mga ito.

Isang bagay na hindi pinapalitan ng alinman sa dalawang produkto: TLS patungo sa isang application na ang pangangailangan sa encryption ay lumalampas sa endpoint ng VPN. Kung nagtatapos ang iyong saklaw ng pagsunod sa application, ang tunnel ay transportasyon at ang sertipiko ay kontrol pa rin.

Isulat ang apat na sagot bago ang pagsusuri ng disenyo, isang linya bawat isa. Kapag ang dalawa sa kanila ay hindi magkasundo — sabihin nating, isang disenyo ng client na pinatunayan ng user at isang pangangailangan sa routing na kasinglaki ng sangay — ang hindi pagkakasundong iyon ang natuklasan, at mas mura itong makita ngayon kaysa sa panahon ng paglipat.