একটি Azure VM-এর টানেল দরকার: গেস্ট ক্লায়েন্ট নাকি VPN গেটওয়ে?

একটি Azure VM-এর একটি ওয়ার্কলোডকে টানেলের মাধ্যমে একটি প্রাইভেট নেটওয়ার্কে পৌঁছাতে হবে। নকশা নির্ধারণকারী প্রশ্নটি হলো কোন VPN পণ্য ভালো নয়; প্রশ্নটি হলো অন্য কোনো মেশিনের কখনো ওই পথটি দরকার হবে কি না। আগে এর উত্তর দিন, বাকি স্থাপত্য সাধারণত নিজেই নির্ধারিত হয়ে যায়। ভুল করলে আপনার উত্তরাধিকারে আসবে এমন একটি VM, যা চুপচাপ এমন একটি রাউটার হয়ে গেছে যা কেউ নথিভুক্ত করেনি।

দুটি কাজ যা একই রকম দেখায়

একটি VM এন্ডপয়েন্ট বা ট্রানজিট পয়েন্ট হতে পারে, এবং পার্থক্যটি আপনি যে সফটওয়্যার ইনস্টল করেন তাতে নয়, বরং টানেলটি কে ব্যবহার করে তাতে। এন্ডপয়েন্ট হিসেবে গেস্ট তার নিজের প্রসেসের জন্য একটি ক্লায়েন্ট চালায়। ট্রানজিট পয়েন্ট হিসেবে এটি অন্য ওয়ার্কলোডের প্যাকেট এগিয়ে দেয়, ফলে এটি আপনার নেটওয়ার্ক টপোলজির অংশ হয়ে ওঠে।

একক VM-এর বেশিরভাগ অনুরোধ হলো দ্বিতীয় কাজের ভাষা পরা প্রথম কাজ। কেউ বলে “VM-ই আমাদের VPN”, অথচ বোঝায় এর উপর একটি অ্যাপ্লিকেশনকে অন্য প্রান্তের একটি ডেটাবেসে পৌঁছাতে হবে।

শর্ত এক: দূরের প্রান্তটি কি আর কারও দরকার?

উত্তর না হলে গেস্টে ক্লায়েন্ট ইনস্টল করুন এবং নকশা করা থামুন। এই পছন্দে কোনো কিছু ম্যানেজড গেটওয়ে দাবি করে না, এবং এর কোনো কিছু VM-কে তার প্রতিবেশীদের জন্য গেটওয়ে বানায় না। আপনি একটি অপারেটিং সিস্টেমের ভেতরে একটি রুট যোগ করছেন।

উত্তর হ্যাঁ হলে, বা এক বছরের মধ্যে সম্ভবত হ্যাঁ হলে, এখনই এটিকে নেটওয়ার্ক নকশা হিসেবে ধরুন। অন্য VM-গুলো ট্রানজিট VM-এ পৌঁছায় কেবল তখনই, যখন সাবনেট রুট টেবিল তাদের সেখানে পাঠায় এবং NIC ফরওয়ার্ড করা ট্রাফিক গ্রহণ করে, তাই কাজটি হলো রুট টেবিল ও ফরওয়ার্ডিং অনুমতি, আরেকটি ক্লায়েন্ট ইনস্টল নয়।

শর্ত দুই: প্রশাসনিক পথটি কি ধরে রাখতে পারবেন?

যে VPN ক্লায়েন্ট বিস্তৃত রুট ইনস্টল করে, সে VM প্রশাসনের পথটি দখল করতে পারে। টানেলের গন্তব্য তালিকা ম্যানেজমেন্ট নেটওয়ার্কের সঙ্গে ওভারল্যাপ করলে ক্লায়েন্ট সংযুক্ত হওয়ার মুহূর্তেই আপনার SSH বা RDP সেশন কেটে যায়, এবং সমাধান সিরিয়াল কনসোল বা পুনর্নির্মাণের মাধ্যমে করতে হয়।

আগে ও পরে যাচাই করুন। Linux-এ ip route get <management-ip> দেখায় কার্নেল এই মুহূর্তে কোন ইন্টারফেস ও সোর্স ব্যবহার করত; টানেল চালু থাকা অবস্থায় উত্তরটির সঙ্গে তা মিলিয়ে দেখুন। স্পষ্ট গন্তব্য তালিকাসহ স্প্লিট টানেল ডিফল্ট রুটের চেয়ে রক্ষা করা সহজ, এবং সাধারণত ওয়ার্কলোডের আসলে এটিই দরকার।

শর্ত তিন: মাঝরাতে কে প্যাচ দেয়?

গেস্ট ক্লায়েন্ট মানে আপনার অপারেটিং সিস্টেম, আপনার ক্লায়েন্ট সংস্করণ এবং আপনার সার্টিফিকেট। আপনি ইতিমধ্যে VM ও তার প্যাচ চক্র চালালে এটি ঠিক আছে। VM কেবল টানেল ধরে রাখার জন্যই থাকলে এটি খারাপ বিনিময়। গেস্ট ক্লায়েন্টকে সস্তা বলার আগে প্যাচের ঘণ্টা গুনুন। যে ক্লায়েন্ট আপগ্রেডে রিবুট দরকার, সেটি এমন মেশিনের জন্য আপনার নির্ধারিত বিভ্রাট, যা টানেল চালু রাখার জন্যই আছে।

ম্যানেজড গেটওয়ে সেই রক্ষণাবেক্ষণ প্ল্যাটফর্মে সরিয়ে নেয়। পরিচয়, অনুমোদন এবং এর পেছনের নেটওয়ার্ক পথ এখনো আপনারই, কিন্তু ক্লায়েন্ট আপডেট প্রয়োগ করতে আপনাকে মেশিন রিবুট করতে হয় না।

ম্যানেজড গেটওয়ে যা করে না

Azure VPN Gateway হলো একটি VNet সংযোগ পরিষেবা, যার নিজস্ব সাইট-টু-সাইট ও পয়েন্ট-টু-সাইট ব্যবস্থা আছে। এটি গেস্ট VPN সফটওয়্যার নিষিদ্ধ করার নিয়ম নয়, এবং একটি অ্যাপ্লিকেশনের দরকারি ক্লায়েন্টের সরাসরি বিকল্পও নয়।

এটি দেয় নেটওয়ার্ক স্তরে একটি সংযোগ, যা রাউটিংয়ের মাধ্যমে বহু ওয়ার্কলোডে পৌঁছায়। এটি দেয় না এমন টানেল, যা একটি VM-এর কেবল একটি প্রসেস ব্যবহার করে এবং সেই প্রসেসের পরিচয়ে সীমাবদ্ধ। এই সীমাবদ্ধতা ক্ষমা চাওয়ার মতো ত্রুটি নয়; এটিই গেস্ট-ক্লায়েন্ট নকশার উদ্দেশ্য। একটি অ্যাপ্লিকেশন, একটি রুট, এক সেট পরিচয়পত্র, সাবনেটের অন্য VM-গুলোতে কোনো প্রভাব নেই।

তাই তুলনাটি ম্যানেজড বনাম সফটওয়্যার নয়। এটি নেটওয়ার্ক-পরিসরের সংযোগ বনাম প্রসেস-পরিসরের সংযোগ, এবং দ্বিতীয়টি বৈধ যখন কেবল একটি প্রসেসেরই তা দরকার।

প্রয়োজনের আগেই বৃদ্ধির পথ পরিকল্পনা করুন

চাহিদা এক VM থেকে সাবনেটে বাড়লে ক্লায়েন্টের অনুমোদিত প্রিফিক্স বিস্তৃত করার বদলে নকশাটি নতুন করে গড়ুন। সুবিধাজনক সেশনকে অনথিভুক্ত রাউটার হিসেবে পুনর্ব্যবহার করলে প্রতিটি ব্যবহারকারী সেই VM-এর আয়ু, তার পরিচয়পত্র এবং তার প্যাচ উইন্ডোর সঙ্গে বাঁধা পড়ে।

সংযোগটি ওয়ার্কলোড-পরিসরের বদলে নেটওয়ার্ক-পরিসরের হয়ে গেলে সঠিক সূচনা বিন্দু হলো Azure VPN Gateway-এর সংক্ষিপ্ত পরিচিতি।

বেছে নেওয়ার আগে তিনটি লাইন লিখুন: দূরের প্রান্তটি কার দরকার, VM কে পরিচালনা করে, এবং টানেলে কে প্যাচ দেয়। তিনটি উত্তরই একটি ওয়ার্কলোডের দিকে ইঙ্গিত করলে গেস্ট ক্লায়েন্টই সৎ নকশা। এর যেকোনোটি সাবনেটের দিকে ইঙ্গিত করলে এখনই নেটওয়ার্ক স্তরের নকশা করুন।