EC2 Windows: VPN-клієнт, VPN-сервер чи шлюз AWS?
Екземпляр Windows EC2 може запускати програмне забезпечення VPN, але клієнт, самостійно керований сервер і шлюз AWS — це різні ролі з різними власниками.
Команді потрібна VPN-зв'язність для застосунку, що працює на екземплярі Windows EC2: вона знаходить сумісне клієнтське ПЗ, встановлює його і потім питає, чому решта VPC не може ним користуватися. Встановлення вдалося; роль так і не було визначено. Програмне забезпечення всередині гостьової системи може бути клієнтом, що приєднується до чужої мережі, сервером, який приймає інших клієнтів, або жодним із продуктів VPN, керованих AWS, і кожна роль залишає вам різну роботу.
Симптом зазвичай — неправильна роль
Типовий симптом — робочий тунель, який вирішує не ту задачу. Клієнт у віртуальній машині дає цій машині вихідний шлях; він не дає вашому ноутбуку, офісу чи іншій підмережі шляху всередину. Сервер у віртуальній машині дає іншим шлях всередину, але тепер ви володієте слухачем, автентифікацією та пересиланням.
Керовані сервіси переносять експлуатацію сервісу в AWS і залишають проєктування вам. Site-to-Site VPN з'єднує мережі через шлюз замовника та шлюз AWS, а Client VPN дає віддаленим пристроям керовану кінцеву точку. В обох випадках маршрути, правила авторизації та джерело ідентичності — це ваша конфігурація, і жоден із продуктів не встановлює клієнт загального призначення всередині гостьової Windows.
Можливі чотири форми, і таблиця розділяє їх за тим, що з чим з'єднується і хто несе експлуатаційне навантаження.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Читайте рядок, а не назву продукту: той самий екземпляр Windows може бути в двох різних рядках залежно від того, яке ПЗ у ньому працює.
Клієнт усередині віртуальної машини: машина приєднується до мережі
Вихідному клієнту треба перевірити збірку Windows, архітектуру та вимоги до драйверів, перш ніж щось встановлювати. Клієнт змінить маршрути та DNS на екземплярі, що може вплинути на сервіси, які вже там працюють, зокрема на шлях, який ви використовуєте для віддаленого адміністрування. Запишіть назву адаптера та метрику інтерфейсу, яку задає клієнт, адже новий інтерфейс може отримати пріоритет над наявним. Якщо екземпляром керують через менеджер сеансів, а не через SSH чи RDP, підтвердьте, що цей шлях працює й після підключення клієнта.
Вирішіть, який трафік має нести клієнт, перш ніж його вмикати. Повний тунель може перехопити сеанс керування й замкнути вас ззовні, а розділений тунель може залишити екземпляр із доступом до приватної мережі, тоді як інший трафік іде іншим шляхом. Тестуйте, маючи другий шлях керування, і записуйте маршрути, які встановлює клієнт, щоб пізнішу зміну можна було пояснити.
Сервер усередині віртуальної машини: інші клієнти приєднуються до нього
Для самостійно керованого сервера ви володієте слухачем, сертифікатом або ключовим матеріалом, базою користувачів і правилами пересилання. Якщо сервер пересилає трафік для інших клієнтів, екземпляр стає маршрутизатором, а це вимагає пересилання на рівні гостьової системи плюс змін маршрутів і груп безпеки на рівні AWS.
Перевірте слухач із гостьової системи і ще раз з іншої підмережі, потім перевірте хост, для якого екземпляр пересилає трафік. Здоровий локальний сервіс нічого не доводить про пересланий шлях, тому запишіть обидва результати в нотатку про зміну.
Керовані шлюзи зберігають сервіс, а не вашу схему доступу
AWS Site-to-Site VPN документує ролі тунелів шлюзу замовника та шлюзу AWS, і купівля цього з'єднання не замінює кожну схему віддаленого доступу. Client VPN документує керовану кінцеву точку з клієнтськими персонами, а правила авторизації та цільові маршрути залишаються вашими. AWS підтримує роботу кінцевої точки та її сертифікатів; хто може досягти якого застосунку — досі правило авторизації, яке ви пишете й підтримуєте.
Обирайте між продуктами за п'ятьма осями: яку роль відіграє кожен, які протоколи приймає, якого джерела ідентичності очікує, як пересилається трафік і як забезпечується доступність. Ігноруйте будь-яку окрему цифру пропускної здатності, наведену в гілці форуму, бо опублікована ємність змінюється разом із сервісом. І не припускайте, що керована пара тунелів змінює поведінку довільного гостьового клієнта.
Оберіть роль до продукту
Напишіть одне речення, що називає напрямок: ця машина приєднується до мережі, ця машина приймає клієнтів, або шлюз AWS з'єднує визначені мережі.
Це речення визначає короткий список продуктів, власника ПЗ і режими відмов, які ви будете налагоджувати. Якщо вимога — щоб віддалені користувачі досягали застосунку, клієнт, встановлений у віртуальній машині застосунку, — неправильна форма. Якщо вимога — щоб одна машина досягала мережі партнера, керований шлюз «сайт-сайт» — це більше механізмів, ніж потрібно завданню. Обидві відповіді законні; лише одна відповідає написаному вами реченню.