Ένα Azure VM χρειάζεται το τούνελ: πελάτης στο guest ή πύλη VPN;

Ένα φορτίο εργασίας σε ένα Azure VM πρέπει να φτάσει σε ένα ιδιωτικό δίκτυο μέσω τούνελ. Το ερώτημα που καθορίζει τον σχεδιασμό δεν είναι ποιο προϊόν VPN είναι καλύτερο, αλλά αν θα χρειαστεί ποτέ αυτή τη διαδρομή κάποιο άλλο μηχάνημα. Απαντήστε πρώτα σε αυτό και η υπόλοιπη αρχιτεκτονική συνήθως επιλέγεται μόνη της. Αν το κάνετε λάθος, κληρονομείτε ένα VM που έγινε σιωπηλά δρομολογητής που δεν τεκμηρίωσε κανείς.

Δύο δουλειές που μοιάζουν

Ένα VM μπορεί να είναι τελικό σημείο ή σημείο διέλευσης, και η διαφορά δεν είναι το λογισμικό που εγκαθιστάτε αλλά ποιος καταναλώνει το τούνελ. Ως τελικό σημείο, το guest τρέχει πελάτη για τις δικές του διεργασίες. Ως σημείο διέλευσης, προωθεί πακέτα άλλων φορτίων εργασίας και έτσι γίνεται μέρος της τοπολογίας του δικτύου σας.

Τα περισσότερα αιτήματα για ένα VM είναι η πρώτη δουλειά με τη γλώσσα της δεύτερης. Κάποιος λέει «το VM είναι το VPN μας» εννοώντας ότι μια εφαρμογή πάνω του πρέπει να φτάσει μια βάση δεδομένων στην άλλη πλευρά.

Προϋπόθεση πρώτη: χρειάζεται κάτι άλλο την απέναντι πλευρά;

Αν η απάντηση είναι όχι, εγκαταστήστε τον πελάτη στο guest και σταματήστε να σχεδιάζετε. Τίποτα σε αυτή την επιλογή δεν απαιτεί τη διαχειριζόμενη πύλη και τίποτα δεν κάνει το VM πύλη για τους γείτονές του. Προσθέτετε μια διαδρομή μέσα σε ένα λειτουργικό σύστημα.

Αν η απάντηση είναι ναι, ή πιθανώς ναι μέσα σε ένα χρόνο, αντιμετωπίστε το τώρα ως σχεδιασμό δικτύου. Άλλα VM φτάνουν σε VM διέλευσης μόνο όταν ο πίνακας δρομολόγησης του υποδικτύου τα στέλνει εκεί και το NIC δέχεται προωθημένη κίνηση, άρα η δουλειά είναι πίνακες δρομολόγησης και άδειες προώθησης, όχι άλλη εγκατάσταση πελάτη.

Προϋπόθεση δεύτερη: μπορείτε να κρατήσετε τη διαδρομή διαχείρισης;

Ένας πελάτης VPN που εγκαθιστά ευρεία διαδρομή μπορεί να αρπάξει τη διαδρομή με την οποία διαχειρίζεστε το VM. Αν η λίστα προορισμών του τούνελ επικαλύπτει το δίκτυο διαχείρισης, η συνεδρία SSH ή RDP πέφτει τη στιγμή που συνδέεται ο πελάτης, και η διόρθωση πρέπει να εφαρμοστεί μέσω σειριακής κονσόλας ή επανάκτισης.

Ελέγξτε πριν και μετά. Στο Linux, η ip route get <management-ip> δείχνει ποια διεπαφή και πηγή θα χρησιμοποιούσε ο πυρήνας τώρα· συγκρίνετε το με την απάντηση όσο το τούνελ είναι ενεργό. Ένα διαχωρισμένο τούνελ με ρητή λίστα προορισμών υπερασπίζεται ευκολότερα από μια προεπιλεγμένη διαδρομή, και συνήθως είναι αυτό που χρειάζεται το φορτίο εργασίας.

Προϋπόθεση τρίτη: ποιος το επιδιορθώνει τα μεσάνυχτα;

Ο πελάτης στο guest είναι το λειτουργικό σας σύστημα, η έκδοση του πελάτη σας και τα πιστοποιητικά σας. Αυτό είναι εντάξει όταν ήδη τρέχετε το VM και τον κύκλο επιδιορθώσεών του. Είναι κακή ανταλλαγή όταν το VM υπάρχει μόνο για να κρατά το τούνελ. Μετρήστε τις ώρες επιδιόρθωσης πριν χαρακτηρίσετε τον πελάτη στο guest φθηνότερο. Μια αναβάθμιση πελάτη που απαιτεί επανεκκίνηση είναι διακοπή που προγραμματίσατε για μηχάνημα που υπάρχει για να μένει το τούνελ ενεργό.

Η διαχειριζόμενη πύλη μεταφέρει αυτή τη συντήρηση στην πλατφόρμα. Εσείς κατέχετε ακόμη την ταυτότητα, την εξουσιοδότηση και τις διαδρομές δικτύου πίσω της, αλλά δεν επανεκκινείτε μηχάνημα για να εφαρμόσετε ενημέρωση πελάτη.

Τι δεν κάνει η διαχειριζόμενη πύλη

Το Azure VPN Gateway είναι υπηρεσία συνδεσιμότητας VNet με δικές της ρυθμίσεις site-to-site και point-to-site. Δεν είναι κανόνας που απαγορεύει λογισμικό VPN στο guest και δεν είναι άμεσο υποκατάστατο πελάτη που χρειάζεται μία εφαρμογή.

Αυτό που δίνει είναι σύνδεση στο επίπεδο δικτύου, προσβάσιμη από πολλά φορτία εργασίας μέσω δρομολόγησης. Αυτό που δεν δίνει είναι τούνελ που χρησιμοποιεί μόνο μία διεργασία σε ένα VM και περιορίζεται στην ταυτότητα αυτής της διεργασίας. Αυτός ο περιορισμός δεν είναι μειονέκτημα για το οποίο πρέπει να απολογηθεί κανείς· είναι ακριβώς το νόημα του σχεδιασμού με πελάτη στο guest. Μία εφαρμογή, μία διαδρομή, ένα σύνολο διαπιστευτηρίων, καμία επίδραση στα άλλα VM του υποδικτύου.

Άρα η σύγκριση δεν είναι διαχειριζόμενο εναντίον λογισμικού. Είναι συνδεσιμότητα σε εύρος δικτύου εναντίον συνδεσιμότητας σε εύρος διεργασίας, και η δεύτερη είναι θεμιτή όταν τη χρειάζεται μόνο μία διεργασία.

Σχεδιάστε τη διαδρομή ανάπτυξης πριν τη χρειαστείτε

Αν η απαίτηση μεγαλώσει από ένα VM σε υποδίκτυο, ξαναχτίστε τον σχεδιασμό αντί να διευρύνετε τα επιτρεπόμενα προθέματα του πελάτη. Η επαναχρησιμοποίηση μιας βολικής συνεδρίας ως αδήλωτου δρομολογητή δένει κάθε χρήστη με τη διάρκεια ζωής αυτού του VM, τα διαπιστευτήριά του και το παράθυρο επιδιορθώσεών του.

Το σωστό σημείο εκκίνησης, μόλις η σύνδεση γίνει εύρους δικτύου και όχι φορτίου εργασίας, είναι η επισκόπηση του Azure VPN Gateway.

Πριν επιλέξετε, γράψτε τρεις γραμμές: τι χρειάζεται την απέναντι πλευρά, ποιος διαχειρίζεται το VM και ποιος επιδιορθώνει το τούνελ. Αν και οι τρεις απαντήσεις δείχνουν ένα φορτίο εργασίας, ο πελάτης στο guest είναι ο έντιμος σχεδιασμός. Αν οποιαδήποτε από αυτές δείχνει υποδίκτυο, σχεδιάστε το επίπεδο δικτύου τώρα.