EC2 Windows: máy khách VPN, máy chủ VPN hay cổng AWS?
Một phiên bản EC2 Windows có thể chạy phần mềm VPN, nhưng máy khách, máy chủ tự quản lý và cổng AWS là những vai trò khác nhau với chủ sở hữu khác nhau.
Một nhóm cần kết nối VPN cho ứng dụng chạy trên phiên bản EC2 Windows, tìm phần mềm máy khách tương thích, cài đặt nó và sau đó hỏi tại sao phần còn lại của VPC không thể dùng nó. Việc cài đặt đã thành công; vai trò chưa bao giờ được quyết định. Phần mềm chạy bên trong khách có thể là máy khách tham gia mạng của người khác, máy chủ chấp nhận các máy khách khác, hoặc không phải cả hai sản phẩm VPN do AWS quản lý, và mỗi vai trò để lại một công việc khác nhau cho bạn.
Triệu chứng thường là sai vai trò
Triệu chứng phổ biến là một đường hầm hoạt động nhưng giải quyết sai vấn đề. Máy khách trong VM cho VM đó một đường ra; nó không cho laptop, văn phòng hay một mạng con khác một đường vào. Máy chủ trong VM cho người khác một đường vào, nhưng giờ bạn sở hữu trình lắng nghe, xác thực và chuyển tiếp.
Các dịch vụ được quản lý chuyển việc vận hành dịch vụ sang AWS và để lại thiết kế cho bạn. Site-to-Site VPN kết nối các mạng thông qua cổng khách hàng và cổng AWS, và Client VPN cung cấp cho thiết bị từ xa một điểm cuối được quản lý. Trong cả hai trường hợp, các tuyến, quy tắc ủy quyền và nguồn danh tính là cấu hình của bạn, và không sản phẩm nào cài đặt máy khách đa dụng bên trong khách Windows.
Có bốn hình dạng khả thi, và bảng phân tách chúng theo cái gì kết nối với cái gì và ai gánh trách nhiệm vận hành.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
Đọc hàng chứ không phải tên sản phẩm: cùng một phiên bản Windows có thể nằm ở hai hàng khác nhau tùy thuộc phần mềm chạy trong đó.
Máy khách trong VM: VM tham gia một mạng
Máy khách hướng ra cần được kiểm tra bản dựng Windows, kiến trúc và yêu cầu trình điều khiển trước khi cài đặt bất cứ thứ gì. Máy khách sẽ thay đổi tuyến và DNS trên phiên bản, điều này có thể ảnh hưởng đến các dịch vụ đang chạy ở đó, bao gồm cả đường bạn dùng để quản trị từ xa. Ghi lại tên bộ điều hợp và chỉ số giao diện mà máy khách đặt, vì giao diện mới có thể được ưu tiên hơn giao diện hiện có. Nếu phiên bản được quản lý qua trình quản lý phiên thay vì SSH hoặc RDP, hãy xác nhận rằng đường đó vẫn hoạt động sau khi máy khách kết nối.
Quyết định máy khách sẽ mang lưu lượng nào trước khi bật nó. Đường hầm đầy đủ có thể bắt phiên quản trị và khóa bạn ở ngoài, còn đường hầm chia tách có thể để phiên bản đến được mạng riêng trong khi lưu lượng khác đi theo lối ra khác. Kiểm tra với đường quản trị thứ hai sẵn có, và ghi lại các tuyến mà máy khách cài đặt để một thay đổi sau này có thể giải thích được.
Máy chủ trong VM: các máy khách khác tham gia vào nó
Với máy chủ tự quản lý, bạn sở hữu trình lắng nghe, chứng chỉ hoặc vật liệu khóa, cơ sở dữ liệu người dùng và các quy tắc chuyển tiếp. Nếu máy chủ chuyển tiếp lưu lượng cho các máy khách khác, phiên bản trở thành bộ định tuyến, và điều đó đòi hỏi chuyển tiếp ở cấp khách cùng với thay đổi tuyến và nhóm bảo mật ở cấp AWS.
Kiểm tra trình lắng nghe từ khách và một lần nữa từ mạng con khác, sau đó kiểm tra một máy chủ mà phiên bản chuyển tiếp tới. Một dịch vụ cục bộ khỏe mạnh không chứng minh được gì về đường được chuyển tiếp, vì vậy hãy ghi cả hai kết quả vào ghi chú thay đổi.
Các cổng được quản lý giữ dịch vụ, không giữ thiết kế truy cập của bạn
AWS Site-to-Site VPN ghi lại các vai trò đường hầm của cổng khách hàng và cổng AWS, và việc mua kết nối đó không thay thế mọi thiết kế truy cập từ xa. Client VPN ghi lại một điểm cuối được quản lý với các persona máy khách, trong khi quy tắc ủy quyền và tuyến đích vẫn là của bạn. AWS giữ điểm cuối và các chứng chỉ của nó hoạt động; ai có thể đến ứng dụng nào vẫn là một quy tắc ủy quyền do bạn viết và duy trì.
Chọn giữa các sản phẩm trên năm trục: mỗi sản phẩm đóng vai trò gì, chấp nhận giao thức nào, mong đợi nguồn danh tính nào, lưu lượng được chuyển tiếp thế nào và tính sẵn sàng được cung cấp ra sao. Bỏ qua mọi con số thông lượng đơn lẻ được trích dẫn trong một chủ đề diễn đàn, vì dung lượng công bố thay đổi theo dịch vụ. Và đừng cho rằng một cặp đường hầm được quản lý thay đổi hành vi của một máy khách tùy ý.
Chọn vai trò trước sản phẩm
Viết một câu nêu hướng: VM này tham gia một mạng, VM này chấp nhận máy khách, hoặc một cổng AWS kết nối các mạng được xác định.
Câu đó quyết định danh sách sản phẩm rút gọn, chủ sở hữu phần mềm và các chế độ lỗi bạn sẽ gỡ. Nếu yêu cầu là người dùng từ xa đến được một ứng dụng, một máy khách cài trong VM của ứng dụng là hình dạng sai. Nếu yêu cầu là một VM đến được mạng của đối tác, một cổng site-to-site được quản lý là nhiều máy móc hơn mức nhiệm vụ cần. Cả hai câu trả lời đều chính đáng; chỉ một câu khớp với câu bạn đã viết.