Een Azure-VM het die tonnel nodig: gaskliënt of VPN-gateway?
Drie voorwaardes bepaal of 'n enkele Azure-VM sy eie VPN-kliënt moet laat loop, of die verbinding eerder op netwerkvlak hoort.
Een werklading in een Azure-VM moet 'n privaat netwerk deur 'n tonnel bereik. Die vraag wat die ontwerp bepaal, is nie watter VPN-produk beter is nie; dit is of enige ander masjien ooit daardie pad nodig sal hê. Antwoord dit eerste, en die res van die argitektuur kies gewoonlik homself. Kry dit verkeerd, en jy erf 'n VM wat stil-stil 'n router geword het wat niemand gedokumenteer het nie.
Twee take wat eenders lyk
'n VM kan 'n eindpunt of 'n deurvoerpunt wees, en die verskil is nie die sagteware wat jy installeer nie, maar wie die tonnel gebruik. As eindpunt laat die gas 'n kliënt vir sy eie prosesse loop. As deurvoerpunt stuur dit ander werkladings se pakkette aan, wat dit deel van jou netwerktopologie maak.
| Taak | Wat die VM doen | Wie die roetering besit |
|---|---|---|
| Werklading-eindpunt | Laat 'n ondersteunde kliënt vir sy eie prosesse loop | Gasroetes kies die goedgekeurde bestemmings |
| Deurvoertoestel | Stuur ander werkladings in die werfverbinding in | Subnetroetertabelle, NIC-deurstuur, gasbeleid en terugpaaie |
Die meeste versoeke vir een VM is die eerste taak in die taal van die tweede. Iemand sê “die VM is ons VPN” wanneer hy bedoel een toepassing daarop moet 'n databasis aan die ander kant bereik.
Voorwaarde een: het iets anders die oorkant nodig?
As die antwoord nee is, installeer die kliënt in die gas en hou op ontwerp. Niks aan daardie keuse vereis die bestuurde gateway nie, en niks daarvan maak die VM 'n gateway vir sy bure nie. Jy voeg 'n roete binne een bedryfstelsel by.
As die antwoord ja is, of waarskynlik ja binne 'n jaar, hanteer dit nou as 'n netwerkontwerp. Ander VM's bereik 'n deurvoer-VM net wanneer die subnetroetertabel hulle daarheen stuur en die NIC deurgestuurde verkeer aanvaar, so die werk is roetertabelle en deurstuurmagtigings, nie nog 'n kliëntinstallering nie.
Voorwaarde twee: kan jy die administrasiepad behou?
'n VPN-kliënt wat 'n wye roete installeer, kan die pad vasvang waarmee jy die VM administreer. As die tonnel se bestemmingslys die bestuursnetwerk oorvleuel, val jou SSH- of RDP-sessie die oomblik dat die kliënt koppel, en die regstelling moet deur die reekskonsole of 'n herbou gedoen word.
Kontroleer voor en ná. Op Linux wys ip route get <management-ip> watter koppelvlak en bron die kern nou sou gebruik; vergelyk dit met die antwoord terwyl die tonnel op is. 'n Gesplete tonnel met 'n eksplisiete bestemmingslys is makliker verdedigbaar as 'n verstekroete, en dit is gewoonlik wat die werklading werklik nodig het.
Voorwaarde drie: wie pleister dit om middernag?
'n Gaskliënt is jou bedryfstelsel, jou kliëntweergawe en jou sertifikate. Dit is reg as jy die VM en sy pleistersiklus klaar bestuur. Dit is 'n swak ruil wanneer die VM net bestaan om die tonnel te hou. Tel die pleisterure voordat jy die gaskliënt goedkoper noem. 'n Kliëntopgradering wat 'n herbegin nodig het, is 'n onderbreking wat jy geskeduleer het vir 'n masjien wat bestaan om die tonnel op te hou.
Die bestuurde gateway skuif daardie instandhouding na die platform. Jy besit steeds identiteit, magtiging en die netwerkpaaie daaragter, maar jy herbegin nie 'n masjien om 'n kliëntopdatering toe te pas nie.
Wat die bestuurde gateway nie doen nie
Azure VPN Gateway is 'n VNet-koppelvlakdiens met sy eie werf-tot-werf- en punt-tot-werf-reëlings. Dit is nie 'n reël wat gast-VPN-sagteware verbied nie, en dit is nie 'n direkte vervanging vir 'n kliënt wat een toepassing nodig het nie.
Wat dit gee, is 'n verbinding op die netwerkvlak, bereikbaar vir baie werkladings deur roetering. Wat dit nie gee nie, is 'n tonnel wat net een proses op een VM gebruik, beperk tot daardie proses se identiteit. Daardie beperking is nie 'n tekortkoming om voor om verskoning te vra nie; dit is juis die punt van die gaskliënt-ontwerp. Een toepassing, een roete, een stel geloofsbriewe, geen effek op die ander VM's in die subnet nie.
Die vergelyking is dus nie bestuur teenoor sagteware nie. Dit is netwerkgerigte koppelvlak teenoor prosesgerigte koppelvlak, en die tweede is geldig wanneer net een proses dit nodig het.
Beplan die groeipad voordat jy dit nodig het
As die vereiste van een VM na 'n subnet groei, herontwerp die ontwerp eerder as om die kliënt se toegelate voorvoegsels te verbreed. Om 'n gerieflike sessie as 'n ongedokumenteerde router te hergebruik, bind elke verbruiker aan daardie VM se leeftyd, sy geloofsbriewe en sy pleistervenster.
Die oorsig oor Azure VPN Gateway is die regte beginpunt sodra die verbinding netwerkgerig eerder as werkladinggerig is.
Skryf voor jy kies drie reëls: wat het die oorkant nodig, wie administreer die VM, en wie pleister die tonnel. Wys al drie antwoorde na een werklading, is 'n gaskliënt die eerlike ontwerp. Wys enige van hulle na 'n subnet, ontwerp dan nou die netwerkvlak.