Yksi Azure VM tarvitsee tunnelin: vierasasiakasohjelma vai VPN-yhdyskäytävä?

Yhden Azure VM:n työkuorman on päästävä yksityiseen verkkoon tunnelin kautta. Suunnittelun ratkaiseva kysymys ei ole se, mikä VPN-tuote on parempi, vaan se, tarvitseeko mikään muu kone koskaan tätä reittiä. Vastaa siihen ensin, ja muu arkkitehtuuri valitsee yleensä itsensä. Jos vastaat väärin, perit VM:n, josta tuli hiljaa reititin, jota kukaan ei dokumentoinut.

Kaksi työtä, jotka näyttävät samalta

VM voi olla päätepiste tai läpikulkupiste, eikä ero ole asentamassasi ohjelmistossa vaan siinä, kuka tunnelia käyttää. Päätepisteenä vieras ajaa asiakasohjelmaa omille prosesseilleen. Läpikulkupisteenä se välittää muiden työkuormien paketteja, mikä tekee siitä osan verkkotopologiaasi.

Useimmat yhden VM:n pyynnöt ovat ensimmäinen työ toisen työn kielellä. Joku sanoo ”VM on meidän VPN”, mutta tarkoittaa, että yhden sen päällä olevan sovelluksen on päästävä toisella puolella olevaan tietokantaan.

Ehto yksi: tarvitseeko jokin muu kaukaista puolta?

Jos vastaus on ei, asenna asiakasohjelma vieraaseen ja lopeta suunnittelu. Mikään siinä valinnassa ei vaadi hallittua yhdyskäytävää, eikä mikään tee VM:stä yhdyskäytävää sen naapureille. Lisäät reitin yhden käyttöjärjestelmän sisään.

Jos vastaus on kyllä tai todennäköisesti kyllä vuoden kuluessa, käsittele sitä nyt verkkosuunnitteluna. Muut VM:t tavoittavat läpikulku-VM:n vain, kun aliverkon reititystaulu lähettää ne sinne ja NIC hyväksyy välitetyn liikenteen, joten työ on reititystaulut ja välitysoikeudet, ei uusi asiakasohjelman asennus.

Ehto kaksi: säilytätkö hallintareitin?

VPN-asiakasohjelma, joka asentaa laajan reitin, voi kaapata reitin, jota käytät VM:n hallintaan. Jos tunnelin kohdeluettelo menee päällekkäin hallintaverkon kanssa, SSH- tai RDP-istuntosi katkeaa sillä hetkellä, kun asiakasohjelma yhdistää, ja korjaus on tehtävä sarjakonsolin tai uudelleenrakennuksen kautta.

Tarkista ennen ja jälkeen. Linuxissa ip route get <management-ip> näyttää, mitä liitäntää ja lähdettä ydin käyttäisi juuri nyt; vertaa sitä vastaukseen, kun tunneli on päällä. Jaettu tunneli, jossa on selkeä kohdeluettelo, on helpompi perustella kuin oletusreitti, ja yleensä se on juuri se, mitä työkuorma todella tarvitsee.

Ehto kolme: kuka paikkaa sen keskiyöllä?

Vierasasiakasohjelma tarkoittaa käyttöjärjestelmääsi, asiakasohjelmasi versiota ja varmenteitasi. Se on hyvä, kun ajat jo VM:ää ja sen paikkaussykliä. Se on huono kauppa, kun VM on olemassa vain tunnelin takia. Laske paikkaustunnit ennen kuin kutsut vierasasiakasohjelmaa halvemmaksi. Asiakasohjelman päivitys, joka vaatii uudelleenkäynnistyksen, on katko, jonka aikataulutit koneelle, joka on olemassa tunnelin pitämiseksi pystyssä.

Hallittu yhdyskäytävä siirtää tämän ylläpidon alustalle. Omistat edelleen identiteetin, valtuutuksen ja sen takana olevat verkkoreitit, mutta et käynnistä konetta uudelleen asiakasohjelman päivityksen vuoksi.

Mitä hallittu yhdyskäytävä ei tee

Azure VPN Gateway on VNet-yhteyksien palvelu, jolla on omat sivusto-sivusto- ja piste-sivusto-järjestelynsä. Se ei ole sääntö, joka kieltää vieraan VPN-ohjelmiston, eikä se ole suora korvaaja asiakasohjelmalle, jota yksi sovellus tarvitsee.

Se antaa yhteyden verkkokerroksessa, mihin monet työkuormat pääsevät reitityksen kautta. Se ei anna tunnelia, jota käyttää vain yksi prosessi yhdellä VM:llä ja joka on rajattu tuon prosessin identiteettiin. Tämä rajaus ei ole puute, jota pitäisi pahoitella; se on juuri vierasasiakasohjelman suunnittelun ydin. Yksi sovellus, yksi reitti, yksi valtuutusjoukko, ei vaikutusta aliverkon muihin VM:ihin.

Vertailu ei siis ole hallittu vastaan ohjelmisto. Se on verkkolaajuinen yhteys vastaan prosessikohtainen yhteys, ja jälkimmäinen on perusteltu, kun vain yksi prosessi tarvitsee sitä.

Suunnittele kasvupolku ennen kuin tarvitset sitä

Jos vaatimus kasvaa yhdestä VM:stä aliverkoksi, rakenna suunnittelu uudelleen sen sijaan että laajentaisit asiakasohjelman sallittuja etuliitteitä. Kätevän istunnon uudelleenkäyttö dokumentoimattomana reitittimenä sitoo jokaisen käyttäjän tuon VM:n elinikään, sen valtuutuksiin ja sen paikkausikkunaan.

Oikea lähtökohta, kun yhteys on verkkolaajuinen eikä työkuormakohtainen, on Azure VPN Gateway -yleiskatsaus.

Kirjoita ennen valintaa kolme riviä: mikä tarvitsee kaukaista puolta, kuka hallinnoi VM:ää ja kuka paikkaa tunnelia. Jos kaikki kolme vastausta osoittavat yhteen työkuormaan, vierasasiakasohjelma on rehellinen suunnittelu. Jos yksikin niistä osoittaa aliverkkoon, suunnittele verkkokerros nyt.