AWS Client VPN yoki Site-to-Site: ulanishni kim ochishini tekshiring

Buni to‘rtta tekshiruv hal qiladi va ularning hech biri protokol nomi emas. Ulanishni kim ochadi, AWS nimani autentifikatsiya qiladi, ulanish tarmog‘ingizga qanday ulanadi va u bilan qanday marshrutlash va siyosat keladi. Ularga tartib bilan javob bering va mahsulot tanlovi odatda o‘z-o‘zidan bo‘ladi; dizaynni sotib olgandan keyin javob bersangiz, muammoning noto‘g‘ri yarmini hal qiladigan tunnelni himoya qilasiz. To‘rttasining hech biri sizdan shifr tanlashni talab qilmaydi, shuning uchun protokoldan boshlanadigan dizayn odatda talablar hech qachon yozilmaganining belgisidir.

Har bir tekshiruvni ishlatmoqchi bo‘lgan haqiqiy so‘nggi nuqta, mijoz va manzil oilasiga nisbatan o‘tkazing, toifaga nisbatan emas. Boshqariladigan VPN mahsulotlari o‘zlari o‘xshash bo‘lgan OpenVPN va IPsec qurilish bloklaridan farq qiladi.

Birinchidan, ulanishni kim ochadi

Agar kirish kerak bo‘lgan narsa noutbuk, telefon yoki bitta administratorning ish stansiyasi bo‘lsa, ulanish masofaviy qurilmadan boshlanadi va dizayn masofaviy mijoz kirishidir. Agar kirish kerak bo‘lgan narsa bitta marshrutizator orqasidagi mashinalarga to‘la filial bo‘lsa, ulanish o‘sha marshrutizatordan boshlanadi va dizayn shlyuzdan shlyuzga. Bu ko‘p holatlarni hal qiladigan tekshiruv va sotuvchining taqdimoti suhbatni allaqachon shifrlar atrofida qurshab olganida odamlar o‘tkazib yuboradigan tekshiruv ham shu.

Agar boshlovchi komponentni ayta olmasangiz, shu yerda to‘xtang. Ikki holatni bitta tunnel bilan qoplashga urinadigan dizayn odatda o‘zini shlyuz deb ko‘rsatadigan mijoz sessiyasi bilan tugaydi.

Ikkinchidan, AWS nimani autentifikatsiya qiladi

Client VPN da AWS sozlangan mijoz yoki foydalanuvchi identifikatorini autentifikatsiya qiladi: sertifikatlar, katalog yoki federal identifikator, sozlamaga qarab. Site-to-Site VPN da AWS shlyuz sherigining identifikatorini autentifikatsiya qiladi. Bu farq tashqi emas. Bitta model foydalanuvchilarni qo‘shish va ularning hisob ma’lumotlarini bekor qilish orqali kengayadi; ikkinchisi bitta shlyuz orqasida turgan hamma narsaga ishonish orqali kengayadi.

Shlyuz autentifikatsiyasi uning orqasidagi har bir xodim yoki ilovani autentifikatsiya qilmaydi, shuning uchun tunnelning o‘zi ishonchli bo‘lsa ham ilova identifikatorlari va resurs darajasidagi kirishni saqlab turing. Marshrutizatori haqiqiy sherik identifikatoriga ega filial o‘sha binodagi har bir stolga ruxsat berilgandek avtomatik o‘qilmasligi kerak.

Uchinchidan, ulanish qanday ulanadi

Client VPN VPC quyi tarmoq assotsiatsiyalari yoki qo‘llab-quvvatlanadigan to‘g‘ridan-to‘g‘ri Transit Gateway ulanishi orqali ulanadi. Site-to-Site VPN AWS VPN maqsadiga, odatda virtual xususiy shlyuzga yoki Transit Gateway ga ulanadi. Client VPN arxitektura qo‘llanmasi Transit Gateway variantini hujjatlashtiradi va uning mavjudligi noutbuk sessiyasini filial shlyuziga aylantirmaydi yoki yuqorida tavsiflangan mijoz autentifikatsiyasi va avtorizatsiyasini olib tashlamaydi.

Marshrutlarni loyihalashdan oldin hisobingiz va hududingiz haqiqatda qaysi ulanishni qo‘llab-quvvatlashini tekshiring, so‘ngra o‘sha ulanish kimga tegishli ekanini tekshiring. Hujjatlarda bor, lekin siz sozlay olmaydigan tarmoqda joylashgan variant variant emas.

To‘rtinchidan, u bilan qanday marshrutlash va siyosat keladi

Client VPN siz ruxsat bergan manzil tarmoqlari uchun mijoz ulanishlarini boshqarish va avtorizatsiya qoidalarini olib keladi. Ulangan foydalanuvchiga baribir mo‘ljallangan so‘nggi nuqta marshruti, unga ruxsat beruvchi avtorizatsiya qoidasi va resursning o‘zi talab qiladigan kirish kerak. Site-to-Site VPN mijoz shlyuzi bilan ifodalangan tarmoqlar o‘rtasida marshrutlaydi, loyihaga qarab qo‘llab-quvvatlanadigan statik marshrutlar yoki BGP dan foydalanib, shuning uchun filial marshrutizatori orqasidagi alohida mashinalarning har biriga mijoz kirishi shart emas.

Hech bir yo‘nalishda toifadan qo‘llab-quvvatlanmaydigan xatti-harakatni xulosa qilmang. Masofaviy kirish VPN lari qaytish trafigini tashishga yoki shlyuz tartiblarini qo‘llab-quvvatlashga umuman qodir emas emas va IPsec NAT tomonidan avtomatik bloklanmaydi — AWS NAT dan o‘tishni va mijoz shlyuziga qo‘yiladigan talablarni hujjatlashtiradi, haqiqiy cheklov esa qo‘llab-quvvatlanadigan shlyuz konfiguratsiyasidir. Mijozlar tomon boshlanadigan ulanishlarni talab qilishdan yoki bitta sessiya orqasidagi LAN ni uzatishdan oldin so‘nggi nuqtangizning cheklovlarini tekshiring. Xuddi shu ehtiyot manzil oilalariga ham tegishli: IPv4 ustida ishlaydigan so‘nggi nuqta IPv6 yo‘lini anglatmaydi, shuning uchun mijozingiz yoki shlyuzingiz haqiqatda kelishadigan oilani tasdiqlang.

Site-to-Site VPN har bir ulanish uchun ikki tunnel beradi va bu ortiqchalik taxmin qilinadigan funksiya emas, dizayn vazifasidir. Mijoz shlyuzining ishlashi, marshrutlarning nosozlikda almashinuvi va sinov qamrovi — hammasi rejalashtirilishi kerak; bitta noutbuk sessiyasini mavhum VPN server bilan taqqoslash ikkalasi haqida ham hech narsani isbotlamaydi.

Ikki dizayn qayerda uchrashadi

Xizmatlar bir-birini istisno qilmaydi va odatiy ishlab chiqarish shakli ikkalasini ham ishlatadi: xodimlar Client VPN da, filial tarmoqlari Site-to-Site da, gaplashishi kerak bo‘lgan manzillar o‘rtasida aniq marshrutlar va kirish siyosati bilan. Jadval to‘rtta tekshiruvning xulosasi, ularni bajarishning o‘rnini bosmaydi.

Ikki mahsulotning hech biri almashtirmaydigan narsa: shifrlash talabi VPN so‘nggi nuqtasidan nariga o‘tadigan ilovaga TLS. Agar muvofiqlik doirangiz ilovada tugasa, tunnel transport va sertifikat hali ham nazoratdir.

Dizayn ko‘rib chiqilishidan oldin to‘rtta javobni yozib qo‘ying, har biri bitta satrda. Ikki javob bir-biriga zid bo‘lsa — aytaylik, foydalanuvchi bilan autentifikatsiya qilingan mijoz dizayni va filial hajmidagi marshrutlash talabi — o‘sha ziddiyat topilma va uni hozir ko‘rish o‘tish paytida ko‘rishdan arzon.