Üks Azure VM vajab tunnelit: külalisklient või VPN-lüüs?

Üks töökoormus ühes Azure VM-is peab tunneliga jõudma privaatvõrku. Disaini otsustav küsimus ei ole, milline VPN-toode on parem, vaid kas mõni teine masin vajab seda teed kunagi. Vastake sellele kõigepealt ja ülejäänud arhitektuur valib end tavaliselt ise. Kui eksite, pärite VM-i, millest sai vaikselt ruuter, mida keegi ei dokumenteerinud.

Kaks tööd, mis näevad sarnased välja

VM võib olla lõpp-punkt või transiidipunkt ja erinevus ei ole paigaldatavas tarkvaras, vaid selles, kes tunnelit tarbib. Lõpp-punktina käivitab külaline kliendi oma protsesside jaoks. Transiidipunktina edastab ta teiste töökoormuste pakette, mistõttu saab temast teie võrgutopoloogia osa.

Enamik ühe VM-i päringuid on esimene töö teise töö keeles. Keegi ütleb „VM on meie VPN”, mõeldes, et üks rakendus sellel peab jõudma teisel pool asuva andmebaasini.

Tingimus üks: kas veel midagi vajab kaugemat poolt?

Kui vastus on ei, paigaldage klient külalisse ja lõpetage projekteerimine. Miski selles valikus ei nõua hallatavat lüüsi ja miski ei tee VM-ist lüüsi tema naabrite jaoks. Te lisate marsruudi ühe operatsioonisüsteemi sees.

Kui vastus on jah, või tõenäoliselt jah aasta jooksul, käsitlege seda nüüd võrgu disainina. Teised VM-id jõuavad transiit-VM-ini ainult siis, kui alamvõrgu marsruutimistabel saadab nad sinna ja NIC võtab edastatud liikluse vastu, seega töö on marsruutimistabelid ja edastamisload, mitte veel üks kliendi paigaldus.

Tingimus kaks: kas säilitate haldustee?

VPN-klient, mis paigaldab laia marsruudi, võib haarata tee, mida mööda VM-i haldate. Kui tunneli sihtkohtade loend kattub haldusvõrguga, katkeb teie SSH või RDP sessioon hetkel, mil klient ühendub, ja parandus tuleb rakendada seeria konsooli või ülesehitamise kaudu.

Kontrollige enne ja pärast. Linuxis näitab ip route get <management-ip>, millist liidest ja allikat tuum praegu kasutaks; võrrelge seda vastusega, kui tunnel on üleval. Selge sihtkohtade loendiga jagatud tunnel on kergem kaitsta kui vaikemarsruut ja tavaliselt on see see, mida töökoormus tegelikult vajab.

Tingimus kolm: kes paigaldab paigad keskööl?

Külalisklient tähendab teie operatsioonisüsteemi, teie kliendi versiooni ja teie sertifikaate. See on korras, kui juba haldate VM-i ja selle paigaldustsüklit. See on halb tehing, kui VM on olemas ainult tunneli hoidmiseks. Loendage paigaldustunnid enne, kui nimetate külalisklienti odavamaks. Kliendi uuendus, mis nõuab taaskäivitust, on katkestus, mille planeerisite masinale, mis on olemas tunneli ülalhoidmiseks.

Hallatav lüüs viib selle hoolduse platvormile. Teile jääb endiselt identiteet, autoriseerimine ja selle taga olevad võrguteed, kuid te ei taaskäivita masinat kliendi uuenduse rakendamiseks.

Mida hallatav lüüs ei tee

Azure VPN Gateway on VNet-ühenduvusteenus oma saidilt-saidile ja punktilt-saidile lahendustega. See ei ole reegel, mis keelab külalises VPN-tarkvara, ja see ei ole otsene asendus kliendile, mida üks rakendus vajab.

See annab ühenduse võrgukihil, millele paljud töökoormused pääsevad marsruutimise kaudu. See ei anna tunnelit, mida kasutab ainult üks protsess ühes VM-is ja mis on piiratud selle protsessi identiteediga. See piirang ei ole puudus, mille pärast vabandada; see ongi külalisliidese disaini mõte. Üks rakendus, üks marsruut, üks volituste komplekt, mingit mõju teistele VM-idele alamvõrgus.

Seega ei ole võrdlus hallatav versus tarkvara. See on võrguulatuse ühenduvus versus protsessiulatuse ühenduvus ja teine on õigustatud, kui seda vajab ainult üks protsess.

Planeerige kasvutee enne, kui seda vajate

Kui nõue kasvab ühest VM-ist alamvõrguks, ehitage disain uuesti üles, selle asemel et laiendada kliendi lubatud eesliiteid. Mugava sessiooni taaskasutamine dokumenteerimata ruuterina seob iga kasutaja selle VM-i eluea, volituste ja paigaldusaknaga.

Õige lähtekoht, kui ühendus on võrguulatuse, mitte töökoormuse ulatusega, on Azure VPN Gateway ülevaade.

Enne valimist kirjutage kolm rida: mida vajab kaugem pool, kes haldab VM-i ja kes paigaldab tunnelit. Kui kõik kolm vastust osutavad ühele töökoormusele, on külalisklient aus disain. Kui mõni neist osutab alamvõrgule, projekteerige võrgukiht kohe.