AWS Client VPN hay Site-to-Site: kiểm tra ai là người mở kết nối

Bốn bước kiểm tra quyết định điều này, và không bước nào là tên giao thức. Ai mở kết nối, AWS xác thực cái gì, kết nối gắn vào mạng của bạn như thế nào, và đi kèm là định tuyến cùng chính sách gì. Trả lời theo thứ tự và việc chọn sản phẩm thường tự diễn ra; trả lời sau khi đã mua một thiết kế và bạn sẽ phải bảo vệ một đường hầm giải quyết sai nửa vấn đề. Không bước nào trong bốn bước yêu cầu bạn chọn một bộ mã hóa, vì thế một thiết kế bắt đầu bằng giao thức thường là dấu hiệu cho thấy các yêu cầu chưa bao giờ được viết ra.

Thực hiện mỗi bước kiểm tra đối với điểm cuối, máy khách và họ địa chỉ thực tế mà bạn định dùng, không phải đối với phạm trù. Các sản phẩm VPN được quản lý khác với những khối cấu thành OpenVPN và IPsec mà chúng trông giống.

Thứ nhất, ai mở kết nối

Nếu thứ cần truy cập là một laptop, một điện thoại hay trạm làm việc của một quản trị viên duy nhất, kết nối bắt đầu từ một thiết bị từ xa và thiết kế là truy cập máy khách từ xa. Nếu thứ cần truy cập là một chi nhánh đầy máy móc sau một bộ định tuyến, kết nối bắt đầu từ bộ định tuyến đó và thiết kế là cổng-nối-cổng. Đây là bước kiểm tra quyết định phần lớn trường hợp, và cũng là bước người ta bỏ qua khi bài trình bày của nhà cung cấp đã đóng khung cuộc trao đổi quanh các bộ mã hóa.

Dừng lại ở đây nếu bạn không thể gọi tên thành phần khởi tạo. Một thiết kế cố phục vụ cả hai trường hợp bằng một đường hầm thường kết thúc bằng một phiên máy khách giả làm cổng.

Thứ hai, AWS xác thực cái gì

Với Client VPN, AWS xác thực danh tính máy khách hoặc người dùng đã cấu hình: chứng chỉ, một thư mục hoặc một danh tính liên hợp, tùy theo thiết lập. Với Site-to-Site VPN, AWS xác thực danh tính của đối tác cổng. Khác biệt đó không phải hình thức. Một mô hình mở rộng bằng cách thêm người dùng và thu hồi thông tin đăng nhập của họ; mô hình kia mở rộng bằng cách tin tưởng mọi thứ nằm sau một cổng duy nhất.

Xác thực cổng không xác thực từng nhân viên hay từng ứng dụng phía sau, vì vậy hãy giữ danh tính ứng dụng và quyền truy cập ở cấp tài nguyên ngay cả khi bản thân đường hầm được tin cậy. Một chi nhánh có bộ định tuyến mang danh tính đối tác hợp lệ không nên được đọc tự động như thể mọi bàn làm việc trong tòa nhà đó đều được cấp quyền.

Thứ ba, kết nối gắn vào như thế nào

Client VPN gắn qua các liên kết mạng con của VPC hoặc một kết nối trực tiếp tới Transit Gateway được hỗ trợ. Site-to-Site VPN gắn vào một đích AWS VPN, thường là một cổng riêng ảo hoặc một Transit Gateway. Hướng dẫn kiến trúc Client VPN ghi lại tùy chọn Transit Gateway, và sự tồn tại của nó không biến một phiên laptop thành cổng chi nhánh cũng không xóa bỏ việc xác thực và cấp quyền cho máy khách đã mô tả ở trên.

Kiểm tra kết nối mà tài khoản và khu vực của bạn thực sự hỗ trợ trước khi thiết kế các tuyến đường quanh nó, rồi kiểm tra xem kết nối đó thuộc về ai. Một tùy chọn có trong tài liệu nhưng nằm trên mạng bạn không thể cấu hình thì không phải là tùy chọn.

Thứ tư, đi kèm là định tuyến và chính sách gì

Client VPN mang lại việc quản lý kết nối máy khách và các quy tắc cấp quyền cho những mạng đích mà bạn cho phép. Người dùng đã kết nối vẫn cần tuyến đường dự định tới điểm cuối, một quy tắc cấp quyền cho phép nó, và quyền truy cập mà bản thân tài nguyên yêu cầu. Site-to-Site VPN định tuyến giữa các mạng được đại diện bởi một cổng khách hàng, dùng các tuyến tĩnh được hỗ trợ hoặc BGP tùy theo thiết kế, nên từng máy riêng lẻ sau bộ định tuyến chi nhánh không cần mỗi máy một lần đăng nhập máy khách.

Đừng suy ra hành vi không được hỗ trợ từ phạm trù theo bất kỳ hướng nào. VPN truy cập từ xa không phải là hoàn toàn không thể mang lưu lượng quay về hay hỗ trợ các cách bố trí cổng, và IPsec không bị NAT chặn tự động — AWS ghi lại việc đi xuyên NAT và các yêu cầu đối với cổng khách hàng, và ràng buộc thực sự là cấu hình cổng được hỗ trợ. Hãy kiểm tra các giới hạn cho điểm cuối của bạn trước khi yêu cầu những kết nối khởi tạo về phía máy khách hoặc chuyển tiếp một LAN nằm sau một phiên. Cùng sự thận trọng đó áp dụng cho các họ địa chỉ: một điểm cuối chạy trên IPv4 không hàm ý có đường IPv6, nên hãy xác nhận họ địa chỉ mà máy khách hoặc cổng của bạn thực sự sẽ thương lượng.

Site-to-Site VPN cho bạn hai đường hầm cho mỗi kết nối, và sự dư thừa đó là một công việc thiết kế chứ không phải một tính năng bạn có thể mặc định. Vận hành cổng khách hàng, chuyển đổi tuyến khi lỗi và độ phủ kiểm thử đều phải được lập kế hoạch; so sánh một phiên laptop với một máy chủ VPN trừu tượng không chứng minh được gì về cả hai.

Nơi hai thiết kế gặp nhau

Các dịch vụ không loại trừ nhau, và hình thức sản xuất phổ biến dùng cả hai: nhân viên trên Client VPN, mạng chi nhánh trên Site-to-Site, với các tuyến đường rõ ràng và chính sách truy cập giữa những đích cần nói chuyện với nhau. Bảng là bản tóm tắt bốn bước kiểm tra, không phải thứ thay thế việc thực hiện chúng.

Một điều mà cả hai sản phẩm đều không thay thế: TLS tới một ứng dụng mà yêu cầu mã hóa của nó vượt ra ngoài điểm cuối VPN. Nếu phạm vi tuân thủ của bạn kết thúc tại ứng dụng, đường hầm là vận chuyển và chứng chỉ vẫn là biện pháp kiểm soát.

Viết bốn câu trả lời trước buổi đánh giá thiết kế, mỗi câu một dòng. Khi hai trong số đó mâu thuẫn — chẳng hạn, một thiết kế máy khách xác thực bằng người dùng với một yêu cầu định tuyến cỡ chi nhánh — thì mâu thuẫn đó chính là phát hiện, và thấy nó bây giờ rẻ hơn thấy nó trong lúc chuyển đổi.