Azure VM batek tunela behar du: gonbidatu bezeroa edo VPN atebidea?
Hiru baldintzak erabakitzen dute Azure VM batek bere VPN bezeroa exekutatu behar duen edo konexioa sare geruzan dagokion.
Azure VM bateko karga batek sare pribatu batera iritsi behar du tunel baten bidez. Diseinua erabakitzen duen galdera ez da zein VPN produktu hobea den; beste makina batek inoiz bide hori beharko duen da. Erantzun hori lehenengo eta arkitekturaren gainerakoa normalean bere kabuz aukeratzen da. Gaizki eginez gero, inork dokumentatu ez zuen router bihurtu zen VM bat heredatzen duzu.
Antzekoak diruditen bi lan
VM bat amaiera puntua edo trantsitu puntua izan daiteke, eta aldea ez da instalatzen duzun softwarea, tunela nork kontsumitzen duen baizik. Amaiera puntu gisa, gonbidatuak bere prozesuetarako bezero bat exekutatzen du. Trantsitu puntu gisa, beste karga batzuen paketeak birbidaltzen ditu, eta horrek zure sare topologiaren parte bihurtzen du.
| Zeregina | Zer egiten du VMak | Nork du bideratzea |
|---|---|---|
| Kargaren amaiera puntua | Bere prozesuetarako bezero onartua exekutatzen du | Gonbidatuaren bideak baimendutako helmugak hautatzen ditu |
| Trantsitu gailua | Beste kargak guneko konexiora birbidaltzen ditu | Azpisarearen bide taulak, NIC birbidalketa, gonbidatuaren politika eta itzultze bideak |
VM bakarreko eskaera gehienak lehen lana dira, bigarrenaren hizkuntzaz jantzita. Norbaitek «VMa gure VPNa da» esaten du, benetan esan nahi duenean gaineko aplikazio batek beste aldeko datu-base batera iritsi behar duela.
Bat baldintza: beste ezerk behar du urrutiko aldea?
Erantzuna ezezkoa bada, instalatu bezeroa gonbidatuan eta utzi diseinatzeari. Aukera horrek ez du kudeatutako atebidea behar eta ez du VMa bere bizilagunentzako atebide bihurtzen. Bide bat gehitzen ari zara sistema eragile baten barruan.
Erantzuna baiezkoa bada, edo ziurrenik baiezkoa urtebeten buruan, hartu orain sare diseinu gisa. Beste VMek trantsitu VM batera iristen dira azpisarearen bide taulak hara bidaltzen dituenean eta NICak birbidalitako trafikoa onartzen duenean, beraz lana hau da: bide taulak eta birbidaltzeko baimenak, ez beste bezero instalazio bat.
Bi baldintza: mantendu dezakezu administrazio bidea?
Bide zabala instalatzen duen VPN bezero batek VMa administratzeko erabiltzen duzun bidea har dezake. Tunelaren helmuga zerrendak kudeaketa sarearekin gainjartzen bada, zure SSH edo RDP saioa erortzen da bezeroa konektatzen den unean, eta konponketa serie kontsola edo berreraiketa bidez aplikatu behar da.
Egiaztatu aurretik eta ondoren. Linuxen ip route get <management-ip> komandoak nukleoak oraintxe erabiliko lukeen interfazea eta iturria erakusten ditu; alderatu erantzunarekin tunela aktibo dagoen bitartean. Helmuga zerrenda esplizitua duen tunel zatitua defendatzen errazagoa da bide lehenetsia baino, eta normalean horixe da kargak benetan behar duena.
Hiru baldintza: nork adabakitzen du gauerdian?
Gonbidatu bezeroa zure sistema eragilea, zure bezero bertsioa eta zure ziurtagiriak dira. Hori ondo dago VMa eta bere adabaki zikloa jada kudeatzen badituzu. Erabaki txarra da VMa tunela eusteko bakarrik badago. Zenbatu adabaki orduak gonbidatu bezeroa merkeagoa dela esan aurretik. Berrabiaraztea eskatzen duen bezero eguneraketa tunela martxan edukitzeko existitzen den makina batentzat programatu duzun etenaldia da.
Kudeatutako atebideak mantenua plataformara eramaten du. Identitatea, baimenak eta atzean dauden sare bideak zureak dira oraindik, baina ez duzu makinarik berrabiarazten bezero eguneraketa aplikatzeko.
Kudeatutako atebideak egiten ez duena
Azure VPN Gateway VNet konektibitaterako zerbitzua da, bere gune-gune eta puntu-gune antolaketekin. Ez da gonbidatuan VPN softwarea debekatzen duen araua, eta ez da aplikazio batek behar duen bezeroaren ordezko zuzena.
Ematen duena sare geruzako konexio bat da, karga askok bideratzearen bidez irits dezaketena. Emaiten ez duena VM bateko prozesu bakarrak erabiltzen duen eta prozesu horren identitatera mugatutako tunela da. Muga hori ez da barkamena eskatzea merezi duen akatsa; gonbidatu bezeroaren diseinuaren funtsa da. Aplikazio bat, bide bat, kredentzial multzo bat, azpiko sareko beste VMetan eraginik gabe.
Beraz, alderaketa ez da kudeatua softwarearen aurka. Sare-eremuko konektibitatea prozesu-eremuko konektibitatearen aurka da, eta bigarrena zilegi da prozesu bakarraren beharra denean.
Planifikatu hazteko bidea behar duzun aurretik
Baldintza VM batetik azpisare batera hazten bada, berreraiki diseinua bezeroaren baimendutako aurrizkiak zabaldu beharrean. Saio erosoa dokumentatu gabeko router gisa berrerabiltzeak kontsumitzaile bakoitza VM horren bizitzara, kredentzialetara eta adabaki leihoara lotzen du.
Abiapuntu egokia, konexioa kargaren eremukoa ez baina sare-eremukoa bihurtzen denean, Azure VPN Gateway-ren ikuspegi orokorra da.
Aukeratu aurretik, idatzi hiru lerro: nori behar du urrutiko aldeak, nork administratzen du VMak eta nork adabakitzen du tunelak. Hiru erantzunek karga bakar batera bideratzen badute, gonbidatu bezeroa da diseinu zintzoa. Horietako edozein azpisare batera bideratzen bada, diseinatu sare geruza orain.