Mae un Azure VM angen y twmnel: cleient gwestai neu borth VPN?

Rhaid i un llwyth gwaith mewn un Azure VM gyrraedd rhwydwaith preifat drwy dwmnel. Y cwestiwn sy'n penderfynu'r dyluniad nid yw pa gynnyrch VPN sydd well; y cwestiwn yw a fydd unrhyw beiriant arall byth angen y llwybr hwnnw. Atebwch hynny'n gyntaf ac mae gweddill y bensaernïaeth fel arfer yn dewis ei hun. Ei gael yn anghywir ac rydych yn etifeddu VM a drodd yn dawel yn llwybrydd na chofnododd neb.

Dau swydd sy'n edrych yn debyg

Gall VM fod yn bwynt terfyn neu'n bwynt tramwy, ac nid y meddalwedd rydych yn ei osod yw'r gwahaniaeth ond pwy sy'n defnyddio'r twmnel. Fel pwynt terfyn, mae'r gwestai yn rhedeg cleient ar gyfer ei brosesau ei hun. Fel pwynt tramwy, mae'n anfon pecynnau llwythi gwaith eraill ymlaen, sy'n ei wneud yn rhan o'ch topoleg rwydwaith.

Mae'r rhan fwyaf o geisiadau un VM yn swydd gyntaf yn iaith yr ail. Dywed rhywun “y VM yw ein VPN” pan mae'n golygu bod angen i un cymhwysiad arno gyrraedd cronfa ddata ar y ochr arall.

Amod un: a oes unrhyw beth arall angen yr ochr bell?

Os mai na yw'r ateb, gosodwch y cleient yn y gwestai a stopiwch ddylunio. Nid oes dim yn y dewis hwnnw angen y porth rheoledig, ac nid oes dim ynddo yn gwneud y VM yn borth i'w gymdogion. Rydych yn ychwanegu llwybr o fewn un system weithredu.

Os mai ie yw'r ateb, neu'n debygol o fod yn ie o fewn blwyddyn, triniwch ef fel dyluniad rhwydwaith nawr. Nid yw VMau eraill yn cyrraedd VM dramwy ond pan fydd tabl llwybro'r isrwydwaith yn eu hanfon yno ac mae'r NIC yn derbyn traffig a drosglwyddir, felly'r gwaith yw tablau llwybro a chaniatadau trosglwyddo, nid gosodiad cleient arall.

Amod dau: allwch chi gadw'r llwybr gweinyddu?

Gall cleient VPN sy'n gosod llwybr eang ddal y llwybr a ddefnyddiwch i weinyddu'r VM. Os yw rhestr gyrchfannau'r twmnel yn gorgyffwrdd â'r rhwydwaith rheoli, mae eich sesiwn SSH neu RDP yn disgyn ar yr eiliad y bydd y cleient yn cysylltu, a rhaid cymhwyso'r atgyweiriad drwy'r consol gyfresol neu drwy ailadeiladu.

Gwiriwch cyn ac ar ôl. Ar Linux mae ip route get <management-ip> yn dweud pa ryngwyneb a ffynhonnell y byddai'r cnewyllyn yn eu defnyddio ar hyn o bryd; cymharwch hynny â'r ateb tra bo'r twmnel i fyny. Mae twmnel hollt â rhestr gyrchfannau benodol yn haws ei amddiffyn na llwybr diofyn, ac fel arfer dyna sydd ei angen ar y llwyth gwaith mewn gwirionedd.

Amod tri: pwy sy'n ei glytio am hanner nos?

Cleient gwestai yw eich system weithredu, eich fersiwn cleient a'ch tystysgrifau. Mae hynny'n iawn pan fyddwch eisoes yn rhedeg y VM a'i gylch clwt. Mae'n fargen wael pan fo'r VM yn bodoli dim ond i ddal y twmnel. Cyfrwch yr oriau clwt cyn galw'r cleient gwestai yn rhatach. Mae uwchraddiad cleient sydd angen ailgychwyn yn doriad a drefnwyd gennych ar gyfer peiriant sy'n bodoli i gadw'r twmnel i fyny.

Mae'r porth rheoledig yn symud y cynnal a chadw hwnnw i'r platfform. Rydych yn dal i fod yn berchen ar hunaniaeth, awdurdodiad a llwybrau'r rhwydwaith y tu ôl iddo, ond nid ydych yn ailgychwyn peiriant i gymhwyso diweddariad cleient.

Beth nad yw'r porth rheoledig yn ei wneud

Mae Azure VPN Gateway yn wasanaeth cysylltedd VNet gyda'i drefniadau safle-i-safle a phwynt-i-bwynt ei hun. Nid yw'n rheol sy'n gwahardd meddalwedd VPN yn y gwestai, ac nid yw'n ddisodliad uniongyrchol ar gyfer cleient y mae un cymhwysiad yn ei angen.

Yr hyn y mae'n ei roi yw cysylltiad ar haen y rhwydwaith, y gellir ei gyrraedd gan lawer o lwythi gwaith drwy lwybro. Yr hyn nad yw'n ei roi yw twmnel nad yw ond un broses ar un VM yn ei ddefnyddio, wedi'i gyfyngu i hunaniaeth y broses honno. Nid yw'r cwmpas hwnnw yn gyfyngiad i ymddiheuro amdano; dyna yw pwynt y dyluniad cleient gwestai. Un cymhwysiad, un llwybr, un set o gymwysterau, dim effaith ar y VMau eraill yn yr isrwydwaith.

Felly nid rheoledig yn erbyn meddalwedd yw'r gymhariaeth. Cysylltedd ar gwmpas rhwydwaith yn erbyn cysylltedd ar gwmpas proses yw hi, ac mae'r ail yn ddilys pan mai dim ond un broses sydd ei angen.

Cynlluniwch y llwybr twf cyn i chi ei angen

Os bydd y gofyniad yn tyfu o un VM i isrwydwaith, ailadeiladwch y dyluniad yn lle lledaenu rhagddodiadau a ganiateir y cleient. Mae ailddefnyddio sesiwn gyfleus fel llwybrydd heb ei chofnodi yn clymu pob defnyddiwr i oes y VM honno, ei chymwysterau a'i ffenestr clwt.

Y man cychwyn cywir, unwaith y bydd y cysylltiad ar gwmpas rhwydwaith yn hytrach nag ar gwmpas llwyth gwaith, yw trosolwg Azure VPN Gateway.

Cyn i chi ddewis, ysgrifennwch dair llinell: beth sydd angen yr ochr bell, pwy sy'n gweinyddu'r VM, a phwy sy'n clwtio'r twmnel. Os yw'r tri ateb yn pwyntio at un llwyth gwaith, cleient gwestai yw'r dyluniad gonest. Os yw unrhyw un ohonynt yn pwyntio at isrwydwaith, dyluniwch haen y rhwydwaith nawr.