Jedna Azure VM potřebuje tunel: klient v hostu, nebo VPN brána?

Jedna pracovní zátěž v jedné Azure VM se musí dostat do privátní sítě tunelem. Otázka, která rozhoduje o návrhu, není, který VPN produkt je lepší, ale zda tu cestu bude někdy potřebovat i jiný stroj. Odpovězte na to nejdřív a zbytek architektury se obvykle vybere sám. Pokud to spletete, zdědíte VM, která se tiše stala routerem, který nikdo nezdokumentoval.

Dvě práce, které vypadají stejně

VM může být koncový bod nebo tranzitní bod a rozdíl není v softwaru, který nainstalujete, ale v tom, kdo tunel využívá. Jako koncový bod spouští host klienta pro vlastní procesy. Jako tranzitní bod přeposílá pakety jiných zátěží, a tím se stává součástí vaší síťové topologie.

Většina požadavků na jednu VM je první práce v jazyce druhé. Někdo řekne „VM je náš VPN“, ale myslí tím, že jedna aplikace na ní potřebuje dosáhnout databáze na druhé straně.

Podmínka první: potřebuje vzdálenou stranu ještě něco jiného?

Pokud je odpověď ne, nainstalujte klienta v hostu a přestaňte navrhovat. Nic na této volbě nevyžaduje spravovanou bránu a nic z ní nedělá VM bránu pro její sousedy. Přidáváte trasu uvnitř jednoho operačního systému.

Pokud je odpověď ano, nebo pravděpodobně ano do roka, berte to teď jako síťový návrh. Jiné VM dosáhnou tranzitní VM jen tehdy, když je tam pošle směrovací tabulka podsítě a NIC přijme přeposílaný provoz, takže práce je směrovací tabulky a oprávnění k přeposílání, ne další instalace klienta.

Podmínka druhá: udržíte si administrační cestu?

VPN klient, který nainstaluje širokou trasu, může zachytit cestu, kterou VM spravujete. Pokud se seznam cílů tunelu překrývá s management sítí, vaše SSH nebo RDP relace spadne ve chvíli, kdy se klient připojí, a oprava se musí provést přes sériovou konzoli nebo nové postavení.

Zkontrolujte před a po. V Linuxu ip route get <management-ip> ukáže, které rozhraní a zdroj by jádro právě teď použilo; porovnejte to s odpovědí, dokud je tunel aktivní. Rozdělený tunel s explicitním seznamem cílů se obhajuje snáz než výchozí trasa a obvykle to je to, co zátěž skutečně potřebuje.

Podmínka třetí: kdo to záplatuje o půlnoci?

Klient v hostu znamená váš operační systém, vaši verzi klienta a vaše certifikáty. To je v pořádku, když VM i její cyklus záplat už provozujete. Je to špatný obchod, když VM existuje jen kvůli tunelu. Spočítejte hodiny záplat, než klienta v hostu označíte za levnějšího. Upgrade klienta, který vyžaduje restart, je výpadek, který jste naplánovali stroji, jenž existuje proto, aby tunel běžel.

Spravovaná brána přesouvá tuto údržbu na platformu. Identitu, autorizaci i síťové cesty za ní máte pořád na starosti, ale nerebootujete stroj kvůli aktualizaci klienta.

Co spravovaná brána nedělá

Azure VPN Gateway je služba konektivity VNet s vlastními uspořádáními site-to-site a point-to-site. Není to pravidlo, které zakazuje VPN software v hostu, a není to přímá náhrada klienta, který jedné aplikaci chybí.

Dává vám připojení na síťové vrstvě, dostupné mnoha zátěžím přes směrování. Nedává vám tunel, který používá jen jeden proces na jedné VM a který je omezený na identitu toho procesu. To omezení není vada, za kterou se má omlouvat; právě to je smysl návrhu s klientem v hostu. Jedna aplikace, jedna trasa, jedna sada přihlašovacích údajů, žádný vliv na ostatní VM v podsíti.

Srovnání tedy není spravované proti softwaru. Je to konektivita v rozsahu sítě proti konektivitě v rozsahu procesu, a druhá je legitimní, když ji potřebuje jen jeden proces.

Naplánujte cestu růstu, než ji budete potřebovat

Pokud požadavek vyroste z jedné VM na podsíť, přestavte návrh, místo abyste rozšiřovali povolené prefixy klienta. Opětovné použití pohodlné relace jako nezdokumentovaného routeru váže každého uživatele na životnost té VM, její přihlašovací údaje a její okno záplat.

Správným výchozím bodem, jakmile je spojení v rozsahu sítě a ne zátěže, je přehled Azure VPN Gateway.

Než si vyberete, napište tři řádky: co potřebuje vzdálenou stranu, kdo spravuje VM a kdo záplatuje tunel. Pokud všechny tři odpovědi míří na jednu zátěž, klient v hostu je poctivý návrh. Pokud kterákoli z nich míří na podsíť, navrhněte síťovou vrstvu hned.