EC2 Windows: VPN client, VPN server, o AWS gateway?
Ang isang Windows EC2 instance ay maaaring magpatakbo ng VPN software, ngunit ang client, self-managed server, at AWS gateway ay magkaibang papel na may magkaibang may-ari.
Kailangan ng isang team ng VPN connectivity para sa app na tumatakbo sa Windows EC2 instance, nakahanap sila ng compatible na client software, ini-install ito, at pagkatapos ay nagtatanong kung bakit hindi ito magamit ng natitirang bahagi ng VPC. Gumana ang install; hindi kailanman napagdesisyunan ang papel. Ang software na tumatakbo sa loob ng guest ay maaaring client na sumasali sa network ng iba, server na tumatanggap ng ibang client, o wala sa dalawang produktong VPN na pinamamahalaan ng AWS, at bawat papel ay may iba't ibang trabahong iniiwan sa iyo.
Ang sintomas ay kadalasang maling papel
Ang karaniwang sintomas ay isang gumaganang tunnel na nag-aayos ng maling problema. Ang client sa loob ng VM ay nagbibigay sa VM na iyon ng palabas na landas; hindi ito nagbibigay sa iyong laptop, opisina, o ibang subnet ng papasok na landas. Ang server sa loob ng VM ay nagbibigay sa iba ng papasok na landas, ngunit ngayon ikaw ang may-ari ng listener, authentication, at forwarding.
Ang mga managed service ay inililipat ang operasyon ng serbisyo sa AWS at iniiwan ang disenyo sa iyo. Ang Site-to-Site VPN ay nag-uugnay ng mga network sa pamamagitan ng customer gateway at AWS gateway, at ang Client VPN ay nagbibigay sa mga remote device ng managed endpoint. Sa parehong kaso, ang mga ruta, ang mga patakaran sa awtorisasyon, at ang pinagmulan ng pagkakakilanlan ay ang iyong configuration, at wala sa mga produkto ang nag-install ng general-purpose client sa loob ng Windows guest.
May apat na posibleng hugis, at hinihiwalay sila ng talahanayan ayon sa kung ano ang kumokonekta sa ano at sino ang may pasan ng operasyonal na bigat.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Basahin ang hilera, hindi ang pangalan ng produkto: ang parehong Windows instance ay maaaring nasa dalawang magkaibang hilera depende sa software na tumatakbo sa loob nito.
Client sa loob ng VM: sumasali ang VM sa isang network
Ang palabas na client ay kailangang masuri ang Windows build, arkitektura, at mga kinakailangan ng driver bago mag-install ng anuman. Babaguhin ng client ang mga ruta at DNS sa instance, na makakaapekto sa mga serbisyong tumatakbo na roon, kabilang ang landas na ginagamit mo para sa remote administration. Itala ang pangalan ng adapter at ang interface metric na itinatakda ng client, dahil maaaring mangibabaw ang bagong interface sa umiiral. Kung ang instance ay pinamamahalaan sa pamamagitan ng session manager sa halip na SSH o RDP, tiyakin na gumagana pa rin ang landas na iyon pagkatapos kumonekta ang client.
Magpasya kung anong trapiko ang dapat dalhin ng client bago ito paganahin. Ang buong tunnel ay maaaring mahuli ang session ng pamamahala at i-lock ka sa labas, at ang split tunnel ay maaaring hayaang maabot ng instance ang pribadong network habang ang iba nitong trapiko ay dumadaan sa ibang labasan. Subukan na may pangalawang landas ng pamamahala na magagamit, at itala ang mga rutang ini-install ng client upang maipaliwanag ang susunod na pagbabago.
Server sa loob ng VM: sumasali ang ibang client dito
Para sa self-managed server, ikaw ang may-ari ng listener, ang certificate o key material, ang user database, at ang mga patakaran sa forwarding. Kung ang server ay nagfo-forward ng trapiko para sa ibang client, ang instance ay nagiging router, at nangangailangan iyon ng forwarding sa antas ng guest at mga pagbabago sa ruta at security group sa antas ng AWS.
Subukan ang listener mula sa guest at muli mula sa ibang subnet, pagkatapos ay subukan ang host na pinagfo-forwardan ng instance. Ang malusog na lokal na serbisyo ay hindi nagpapatunay ng anuman tungkol sa na-forward na landas, kaya itala ang parehong resulta sa tala ng pagbabago.
Pinapanatili ng mga managed gateway ang serbisyo, hindi ang iyong disenyo ng pag-access
AWS Site-to-Site VPN ay nagdodokumento ng mga papel ng tunnel ng customer gateway at AWS gateway, at ang pagbili ng koneksyon na iyon ay hindi pumapalit sa bawat disenyo ng remote access. Ang Client VPN ay nagdodokumento ng managed endpoint na may mga persona ng client, habang ang mga patakaran sa awtorisasyon at mga target na ruta ay nananatiling iyo. Pinapanatili ng AWS na tumatakbo ang endpoint at ang mga certificate nito; kung sino ang makakaabot sa aling application ay patakaran pa rin sa awtorisasyon na isinusulat at pinapanatili mo.
Pumili sa pagitan ng mga produkto sa limang axis: anong papel ang ginagampanan ng bawat isa, anong protocol ang tinatanggap nito, anong pinagmulan ng pagkakakilanlan ang inaasahan nito, paano ipinapasa ang trapiko, at paano ibinibigay ang availability. Huwag pansinin ang anumang nag-iisang bilang ng throughput na sinipi sa isang thread ng forum, dahil gumagalaw ang nai-publish na kapasidad kasama ng serbisyo. At huwag ipagpalagay na ang managed tunnel pair ay nagbabago sa pag-uugali ng isang arbitrary na guest client.
Piliin ang papel bago ang produkto
Sumulat ng isang pangungusap na nagpapangalan sa direksyon: sumasali ang VM na ito sa isang network, tumatanggap ang VM na ito ng mga client, o nag-uugnay ang AWS gateway ng mga tinukoy na network.
Ang pangungusap na iyon ang nagpasya sa maikling listahan ng produkto, sa may-ari ng software, at sa mga mode ng pagkabigo na iyong i-de-debug. Kung ang kinakailangan ay maabot ng mga remote user ang isang application, ang client na naka-install sa VM ng application ay maling hugis. Kung ang kinakailangan ay maabot ng isang VM ang network ng partner, ang managed na site-to-site gateway ay mas maraming makinarya kaysa kailangan ng gawain. Pareho ang mga sagot ay lehitimo; isa lamang sa kanila ang tumutugma sa pangungusap na isinulat mo.