AWS Client VPN mu Site-to-Site mı: bağlantıyı kimin açtığını kontrol edin

Bunu dört kontrol belirler ve hiçbiri protokolün adı değildir. Bağlantıyı kim açar, AWS neyi doğrular, bağlantı ağınıza nasıl bağlanır ve beraberinde hangi yönlendirme ve ilke gelir. Bunları sırayla yanıtlayın; ürün seçimi genellikle kendiliğinden ortaya çıkar. Tasarımı satın aldıktan sonra yanıtlarsanız, sorunun yanlış yarısını çözen bir tüneli savunursunuz. Dördünün hiçbiri sizden şifreleme seçmenizi istemez, bu yüzden protokolle başlayan bir tasarım genellikle gereksinimlerin hiç yazılmadığının işaretidir.

Her kontrolü kullanmayı planladığınız gerçek uç noktaya, istemciye ve adres ailesine göre yapın, kategoriye göre değil. Yönetilen VPN ürünleri, benzedikleri OpenVPN ve IPsec yapı taşlarından farklıdır.

Birincisi, bağlantıyı kim açar

Erişim gereken şey bir dizüstü bilgisayar, telefon veya tek bir yöneticinin iş istasyonuysa bağlantı uzak bir cihazda başlar ve tasarım uzak istemci erişimidir. Erişim gereken şey tek bir yönlendiricinin arkasındaki makinelerle dolu bir şubeyse bağlantı o yönlendiricide başlar ve tasarım ağ geçidinden ağ geçidine erişimdir. Çoğu durumu çözen kontrol budur ve bir satıcı sunumu konuşmayı zaten şifreleme etrafında çerçevelemişse atlanan da bu kontroldür.

Başlatan bileşeni adlandıramıyorsanız burada durun. İki durumu tek bir tünelle karşılamaya çalışan tasarım genellikle kendini ağ geçidi olarak gösteren bir istemci oturumuyla biter.

İkincisi, AWS neyi doğrular

Client VPN'de AWS, yapılandırılmış istemci veya kullanıcı kimliğini doğrular: sertifikalar, bir dizin veya birleşik kimlik, kuruluma göre. Site-to-Site VPN'de AWS, ağ geçidinin eş kimliğini doğrular. Bu fark kozmetik değildir. Bir model kullanıcı ekleyip kimlik bilgilerini iptal ederek ölçeklenir; diğeri tek bir ağ geçidinin arkasındaki her şeye güvenerek ölçeklenir.

Ağ geçidi doğrulaması, arkasındaki her çalışanı veya uygulamayı doğrulamaz; bu yüzden tünelin kendisi güvenilir olsa bile uygulama kimliklerini ve kaynak düzeyinde erişimi koruyun. Yönlendiricisi geçerli bir eş kimliğine sahip olan bir şube, o binadaki her masanın yetkili olduğu şeklinde otomatik olarak okunmamalıdır.

Üçüncüsü, bağlantı nasıl bağlanır

Client VPN, VPC alt ağ ilişkilendirmeleri veya desteklenen doğrudan Transit Gateway bağlantısı üzerinden bağlanır. Site-to-Site VPN, bir AWS VPN hedefine, genellikle sanal özel bir ağ geçidine veya bir Transit Gateway'e bağlanır. Client VPN mimari kılavuzu Transit Gateway seçeneğini belgeler ve varlığı bir dizüstü oturumunu şube ağ geçidine dönüştürmez veya yukarıda açıklanan istemci kimlik doğrulamasını ve yetkilendirmesini kaldırmaz.

Rotaları tasarlamadan önce hesabınızın ve bölgenizin gerçekte hangi bağlantıyı desteklediğini kontrol edin, sonra o bağlantının kime ait olduğunu kontrol edin. Belgelerde bulunan ancak yapılandıramadığınız bir ağda duran seçenek seçenek değildir.

Dördüncüsü, beraberinde hangi yönlendirme ve ilke gelir

Client VPN, izin verdiğiniz hedef ağlar için istemci bağlantı yönetimi ve yetkilendirme kuralları getirir. Bağlı bir kullanıcı yine de amaçlanan uç nokta rotasına, onu izin veren bir yetkilendirme kuralına ve kaynağın kendisinin gerektirdiği erişime ihtiyaç duyar. Site-to-Site VPN, bir müşteri ağ geçidiyle temsil edilen ağlar arasında, tasarıma bağlı olarak desteklenen statik rotalar veya BGP kullanarak yönlendirme yapar, böylece şube yönlendiricisinin arkasındaki tek tek makinelerin her biri istemci oturumu açmak zorunda değildir.

Hiçbir yönde kategoriden desteklenmeyen davranış çıkarmayın. Uzak erişim VPN'leri dönüş trafiğini taşımak veya ağ geçidi düzenlerini desteklemek konusunda evrensel olarak yetersiz değildir ve IPsec NAT tarafından otomatik olarak engellenmez — AWS NAT geçişini ve müşteri ağ geçidi gereksinimlerini belgeler ve gerçek kısıt desteklenen ağ geçidi yapılandırmasıdır. İstemcilere doğru başlatılan bağlantıları zorunlu kılmadan veya bir oturumun arkasındaki LAN'ı yönlendirmeden önce uç noktanızın kısıtlarını kontrol edin. Aynı dikkat adres aileleri için de geçerlidir: IPv4 üzerinden çalışan bir uç nokta IPv6 yolu anlamına gelmez, bu yüzden istemcinizin veya ağ geçidinizin gerçekte üzerinde anlaşacağı aileyi doğrulayın.

Site-to-Site VPN size bağlantı başına iki tünel verir ve bu yedeklilik varsayabileceğiniz bir özellik değil bir tasarım görevidir. Müşteri ağ geçidinin işletimi, rota yük devri ve test kapsamı planlanmalıdır; bir dizüstü oturumunu soyut bir VPN sunucusuyla karşılaştırmak ikisi hakkında da hiçbir şey kanıtlamaz.

İki tasarımın buluştuğu yer

Hizmetler birbirini dışlamaz ve yaygın üretim biçimi ikisini birlikte kullanır: çalışanlar Client VPN'de, şube ağları Site-to-Site'ta, konuşması gereken hedefler arasında açık rotalar ve erişim ilkesiyle. Tablo dört kontrolün özetidir, onları yapmanın yerine geçmez.

İki üründen hiçbirinin yerini tutmadığı bir şey: şifreleme gereksinimi VPN uç noktasının ötesine uzanan bir uygulamaya TLS. Uyumluluk kapsamınız uygulamada bitiyorsa tünel taşımadır ve sertifika hâlâ kontroldür.

Tasarım incelemesinden önce dört yanıtı yazın, her biri bir satırda. İkisi çeliştiğinde — diyelim ki kullanıcıyla doğrulanan bir istemci tasarımı ve şube ölçeğinde bir yönlendirme gereksinimi — o çelişki bulgudur ve onu şimdi görmek geçiş sırasında görmekten daha ucuzdur.