Bir Azure VM tunnelə ehtiyac duyur: qonaq klienti, yoxsa VPN şlüzü?

Bir Azure VM-dəki bir iş yükü tunel vasitəsilə şəxsi şəbəkəyə çatmalıdır. Dizaynı həll edən sual hansı VPN məhsulunun daha yaxşı olması deyil; başqa bir maşının bu yola heç vaxt ehtiyac duyub-duymayacağıdır. Bunu əvvəlcə cavablandırın, qalan arxitektura adətən özü seçilir. Səhv etsəniz, səssizcə heç kimin sənədləşdirmədiyi marşrutlaşdırıcıya çevrilmiş bir VM miras alırsınız.

Oxşar görünən iki iş

VM həm son nöqtə, həm də tranzit nöqtəsi ola bilər və fərq quraşdırdığınız proqramda deyil, tuneli kimin istifadə etdiyindədir. Son nöqtə kimi qonaq öz prosesləri üçün klient işlədir. Tranzit nöqtəsi kimi digər iş yüklərinin paketlərini ötürür və bununla şəbəkə topologiyanızın bir hissəsinə çevrilir.

Tək VM üçün sorğuların çoxu ikinci işin dilini geyinmiş birinci işdir. Kimsə “VM bizim VPN-imizdir” deyir, amma nəzərdə tutur ki, üzərindəki bir tətbiq o biri tərəfdəki verilənlər bazasına çatmalıdır.

Şərt bir: uzaq tərəfə başqa bir şey lazımdırmı?

Cavab xeyrdirsə, klienti qonağın içində quraşdırın və dizaynı dayandırın. Bu seçimdə idarə olunan şlüzü tələb edən heç nə yoxdur və VM-i qonşuları üçün şlüzə çevirən heç nə yoxdur. Siz bir əməliyyat sistemi daxilində marşrut əlavə edirsiniz.

Cavab hədirsə və ya bir il ərzində çox güman ki hədirsə, bunu indi şəbəkə dizaynı kimi qəbul edin. Digər VM-lər tranzit VM-ə yalnız alt şəbəkə marşrut cədvəli onları ora göndərdikdə və NIC ötürülən trafiki qəbul etdikdə çatır, buna görə iş marşrut cədvəlləri və ötürmə icazələridir, başqa klient quraşdırması deyil.

Şərt iki: idarəetmə yolunu saxlaya bilirsinizmi?

Geniş marşrut quraşdıran VPN klienti VM-i idarə etdiyiniz yolu ələ keçirə bilər. Tunelin təyinat siyahısı idarəetmə şəbəkəsi ilə üst-üstə düşərsə, SSH və ya RDP sessiyanız klient qoşulan anda kəsilir və düzəliş seriyalı konsol vasitəsilə və ya yenidən qurma ilə tətbiq edilməlidir.

Əvvəl və sonra yoxlayın. Linux-da ip route get <management-ip> kernelin hazırda hansı interfeys və mənbədən istifadə edəcəyini göstərir; bunu tunel işləyərkən alınan cavabla müqayisə edin. Açıq təyinat siyahısı olan bölünmüş tunel standart marşrutdan daha müdafiə oluna biləndir və adətən iş yükünün həqiqətən ehtiyac duyduğu şey budur.

Şərt üç: gecə yarısı onu kim yamaqlayır?

Qonaq klienti sizin əməliyyat sisteminiz, klient versiyanız və sertifikatlarınızdır. VM-i və onun yamaq dövrünü artıq idarə edirsinizsə, bu yaxşıdır. VM yalnız tuneli saxlamaq üçün mövcuddursa, bu pis mübadilədir. Qonaq klientini daha ucuz adlandırmazdan əvvəl yamaq saatlarını sayın. Yenidən başlatma tələb edən klient yeniləməsi tuneli ayaqda saxlamaq üçün mövcud olan maşın üçün planlaşdırdığınız fasilədir.

İdarə olunan şlüz həmin baxımı platformaya köçürür. Siz hələ də kimlik, avtorizasiya və arxasındakı şəbəkə yollarına sahibsiniz, lakin klient yeniləməsini tətbiq etmək üçün maşını yenidən başlatmırsınız.

İdarə olunan şlüz nə etmir

Azure VPN Gateway öz sayt-sayt və nöqtə-sayt tənzimləmələri olan VNet bağlantı xidmətidir. Qonaqda VPN proqramını qadağan edən qayda deyil və bir tətbiqin ehtiyac duyduğu klientin əvəzedicisi deyil.

Verdiyi şey şəbəkə qatında, bir çox iş yükünün marşrutlaşdırma ilə çata bildiyi bir bağlantıdır. Vermədiyi şey isə bir VM-də yalnız bir prosesin istifadə etdiyi və həmin prosesin kimliyi ilə məhdudlaşan tuneldir. Bu məhdudiyyət üzr istəniləcək bir çatışmazlıq deyil; qonaq klienti dizaynının məqsədi elə budur. Bir tətbiq, bir marşrut, bir etimadnamə dəsti, alt şəbəkədəki digər VM-lərə təsir yoxdur.

Deməli, müqayisə idarə olunan ilə proqram arasında deyil. Şəbəkə miqyaslı bağlantı ilə proses miqyaslı bağlantı arasındadır və ikincisi yalnız bir prosesə lazım olduqda qanunidir.

Böyümə yolunu ona ehtiyac duymazdan əvvəl planlayın

Tələb bir VM-dən alt şəbəkəyə böyüyürsə, klientin icazə verilən prefikslərini genişləndirmək əvəzinə dizaynı yenidən qurun. Rahat bir sessiyanı sənədləşdirilməmiş marşrutlaşdırıcı kimi təkrar istifadə etmək hər istifadəçini həmin VM-in ömrünə, etimadnamələrinə və yamaq pəncərəsinə bağlayır.

Azure VPN Gateway icmalı bağlantı iş yükü miqyaslı deyil, şəbəkə miqyaslı olduqdan sonra düzgün başlanğıc nöqtəsidir.

Seçim etməzdən əvvəl üç sətir yazın: uzaq tərəfə nə lazımdır, VM-i kim idarə edir və tuneli kim yamaqlayır. Üç cavab da bir iş yükünə işarə edirsə, qonaq klienti dürüst dizayndır. Onlardan hər hansı biri alt şəbəkəyə işarə edirsə, şəbəkə qatını indi dizayn edin.