Jedan Azure VM treba tunel: klijent u gostu ili VPN gateway?
Tri uslova odlučuju da li jedan Azure VM treba da pokreće sopstveni VPN klijent ili veza pripada mrežnom sloju.
Jedno radno opterećenje u jednom Azure VM mora doći do privatne mreže kroz tunel. Pitanje koje odlučuje o dizajnu nije koji je VPN proizvod bolji, nego hoće li ikada nekoj drugoj mašini trebati taj put. Odgovorite prvo na to i ostatak arhitekture se obično sam izabere. Pogriješite li, naslijedićete VM koja je tiho postala ruter koji niko nije dokumentovao.
Dva posla koja izgledaju isto
VM može biti krajnja tačka ili tranzitna tačka, a razlika nije u softveru koji instalirate nego u tome ko koristi tunel. Kao krajnja tačka, gost pokreće klijent za sopstvene procese. Kao tranzitna tačka, prosljeđuje pakete drugih radnih opterećenja, što ga čini dijelom vaše mrežne topologije.
| Zadatak | Šta VM radi | Ko posjeduje rutiranje |
|---|---|---|
| Krajnja tačka opterećenja | Pokreće podržani klijent za sopstvene procese | Rute gosta biraju odobrene destinacije |
| Tranzitni uređaj | Prosljeđuje druga opterećenja u vezu sa lokacijom | Tabele ruta podmreže, prosljeđivanje NIC-a, politika gosta i povratni putevi |
Većina zahtjeva za jedan VM je prvi posao u jeziku drugog. Neko kaže „VM je naš VPN“, a misli da jedna aplikacija na njemu mora doći do baze podataka na drugoj strani.
Uslov prvi: treba li još nečemu druga strana?
Ako je odgovor ne, instalirajte klijent u gostu i prestanite da projektujete. Ništa u tom izboru ne zahtijeva upravljani gateway i ništa u njemu ne čini VM gatewayom za njegove susjede. Dodajete rutu unutar jednog operativnog sistema.
Ako je odgovor da, ili vjerovatno da u roku od godine, tretirajte to sada kao mrežni dizajn. Drugi VM-ovi dolaze do tranzitnog VM-a samo kada ih tabela ruta podmreže pošalje tamo i NIC prihvati proslijeđeni saobraćaj, pa je posao tabele ruta i dozvole za prosljeđivanje, a ne još jedna instalacija klijenta.
Uslov drugi: možete li zadržati administrativni put?
VPN klijent koji instalira široku rutu može preuzeti put kojim administrirate VM. Ako se lista destinacija tunela preklapa sa upravljačkom mrežom, vaša SSH ili RDP sesija pada u trenutku kada se klijent poveže, a ispravka se mora primijeniti preko serijske konzole ili ponovne izgradnje.
Provjerite prije i poslije. Na Linuxu ip route get <management-ip> pokazuje koji bi interfejs i izvor kernel sada koristio; uporedite to s odgovorom dok je tunel aktivan. Podijeljeni tunel s eksplicitnom listom destinacija lakše je braniti od podrazumijevane rute i obično je ono što opterećenju zaista treba.
Uslov treći: ko ga krpi u ponoć?
Klijent u gostu je vaš operativni sistem, vaša verzija klijenta i vaši sertifikati. To je u redu kada već upravljate VM-om i njegovim ciklusom zakrpa. To je loša trgovina kada VM postoji samo da drži tunel. Prebrojte sate krpljenja prije nego što klijent u gostu proglasite jeftinijim. Nadogradnja klijenta koja zahtijeva restart jeste prekid koji ste zakazali za mašinu koja postoji da bi tunel ostao aktivan.
Upravljani gateway premješta to održavanje na platformu. I dalje posjedujete identitet, autorizaciju i mrežne puteve iza njega, ali ne restartujete mašinu da biste primijenili ažuriranje klijenta.
Šta upravljani gateway ne radi
Azure VPN Gateway je usluga povezivanja VNet-a sa sopstvenim aranžmanima lokacija-lokacija i tačka-lokacija. To nije pravilo koje zabranjuje VPN softver u gostu i nije direktna zamjena za klijent koji jednoj aplikaciji treba.
Ono što daje jeste veza na mrežnom sloju, dostupna mnogim opterećenjima kroz rutiranje. Ono što ne daje jeste tunel koji koristi samo jedan proces na jednom VM-u i koji je ograničen na identitet tog procesa. To ograničenje nije nedostatak zbog kojeg se treba izvinjavati; upravo je to smisao dizajna s klijentom u gostu. Jedna aplikacija, jedna ruta, jedan set akreditiva, bez uticaja na druge VM-ove u podmreži.
Dakle, poređenje nije upravljano protiv softvera. To je povezanost u obimu mreže protiv povezanosti u obimu procesa, a druga je legitimna kada je treba samo jedan proces.
Isplanirajte put rasta prije nego što vam zatreba
Ako zahtjev naraste s jednog VM-a na podmrežu, ponovo izgradite dizajn umjesto da širite dozvoljene prefikse klijenta. Ponovno korištenje zgodne sesije kao nedokumentovanog rutera veže svakog korisnika za životni vijek tog VM-a, njegove akreditive i njegov prozor zakrpa.
Ispravna početna tačka, kada veza postane mrežnog a ne opterećenjskog obima, jeste pregled Azure VPN Gateway.
Prije nego što izaberete, napišite tri reda: šta treba drugu stranu, ko administrira VM i ko krpi tunel. Ako sva tri odgovora pokazuju na jedno opterećenje, klijent u gostu je iskren dizajn. Ako bilo koji od njih pokazuje na podmrežu, projektujte mrežni sloj sada.